ALERT: acquisizione di privilegi di Administrator su WNT 4.0 [ID: A-99002C]
-----BEGIN PGP SIGNED MESSAGE----- GARR-CERT Security Alert - ------------------------------------------------------------------------------ Alert ID: A-99002C Data di creazione: Fri Apr 30 10:38:46 1999 Titolo: acquisizione di privilegi di Administrator su WNT 4.0 Gravita': media - ------------------------------------------------------------------------------ 1) Descrizione del problema Ogni volta che un utente si alloca per la prima volta su di una macchina Windows NT Workstation o Server, viene creata nel Registry una chiave in cui viene scritto, tra le altre cose, il puntatore su disco al profilo dell'utente (cioe' una directory in cui sono memorizzate le sue impostazioni personalizzate). In una installazione di default del sistema operativo, pero', la sezione del Registry dove vengono scritte queste informazioni e' accessibile in scrittura ad "Everyone". Questo consentirebbe ad un utente locale di alterare il puntatore al profilo di Administrator facendo in modo che punti ad un profilo "trojan" creato dall'utente stesso. All'interno del profilo, tra le altre cose, c'e' la struttura del "Menu Avvio", che e' personalizzabile per ogni utente. Basterebbe ad un utente inserire nella sezione "Esecuzione Automatica" (o "Startup" per la versione inglese) un file con estensione .BAT che contenga il seguente comando: net groups "Domain Admins" <nome utente> /add In questo modo l'utente viene aggiunto al gruppo "Domain Admins". 2) Piattaforme interessate Windows NT 4.0 Workstation e Server fino a SP4. 3) Impatto Utenti del dominio possono acquisire privilegi di Administrator. 4) Soluzioni Modificare i privilegi di accesso alla seguente chiave del Registry: HKLMSoftwareMicrosoftWindows NTCurrentVersionProfileList Basta che sia accessibile in scrittura solo all'utente SYSTEM e leggibile per tutti. Il problema sara' risolto in un futuro Service Pack. 5) Riferimenti White Paper della Microsoft che spiega come rendere sicura una installazione di Windows NT http://www.microsoft.com/NTServer/security/exec/overview/Secure_NTInstall.asp Appendice GARR-CERT Home Page http://security.fi.infn.it/GARR-CERT (temporaneamente) - ------------------------------------------------------------------------------ - ------------------------------------------------------------------------------ Paolo Amendola Phone. +39 80 5443194 GARR-CERT / I.N.F.N. Sezione di Bari Fax. +39 80 5442470 Bari, Italy email.Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. PGP key: http://security.fi.infn.it/cgi-bin/spgpk.pl - ------------------------------------------------------------------------------ -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia Charset: noconv iQCVAwUBNylsrCkc7/YS2hptAQGtOQP+JUmSyRhaaqurD4emiGagQB8LjH27gS4Q D1CN3JmiS+rk8qWjsYn9P4df0JntgkF5Q7IBLB6XoRuTSv9vBX/MMG7yBIJ5Qnk+ 2C+udaAuxh/jMjTjKiUqeDdEFuUgxFSF4NZ536CqfGdYTMUwJBTZV7FTUmDYcyRh R/QXmetocng= =BXSL -----END PGP SIGNATURE-----