ALERT: acquisizione di privilegi di Administrator su WNT 4.0 [ID: A-99002C]
-----BEGIN PGP SIGNED MESSAGE-----
GARR-CERT Security Alert
- ------------------------------------------------------------------------------
Alert ID: A-99002C
Data di creazione: Fri Apr 30 10:38:46 1999
Titolo: acquisizione di privilegi di Administrator su WNT 4.0
Gravita': media
- ------------------------------------------------------------------------------
1) Descrizione del problema
Ogni volta che un utente si alloca per la prima volta su di una macchina Windows
NT Workstation o Server, viene creata nel Registry una chiave in cui viene
scritto, tra le altre cose, il puntatore su disco al profilo dell'utente (cioe'
una directory in cui sono memorizzate le sue impostazioni personalizzate). In
una installazione di default del sistema operativo, pero', la sezione del
Registry dove vengono scritte queste informazioni e' accessibile in scrittura ad
"Everyone". Questo consentirebbe ad un utente locale di alterare il puntatore al
profilo di Administrator facendo in modo che punti ad un profilo "trojan" creato
dall'utente stesso.
All'interno del profilo, tra le altre cose, c'e' la struttura del "Menu Avvio",
che e' personalizzabile per ogni utente. Basterebbe ad un utente inserire nella
sezione "Esecuzione Automatica" (o "Startup" per la versione inglese) un file
con estensione .BAT che contenga il seguente comando:
net groups "Domain Admins" /add
In questo modo l'utente viene aggiunto al gruppo "Domain Admins".
2) Piattaforme interessate
Windows NT 4.0 Workstation e Server fino a SP4.
3) Impatto
Utenti del dominio possono acquisire privilegi di Administrator.
4) Soluzioni
Modificare i privilegi di accesso alla seguente chiave del Registry:
HKLMSoftwareMicrosoftWindows NTCurrentVersionProfileList
Basta che sia accessibile in scrittura solo all'utente SYSTEM e leggibile per
tutti.
Il problema sara' risolto in un futuro Service Pack.
5) Riferimenti
White Paper della Microsoft che spiega come rendere sicura una installazione di
Windows NT
http://www.microsoft.com/NTServer/security/exec/overview/Secure_NTInstall.asp
Appendice
GARR-CERT Home Page
http://security.fi.infn.it/GARR-CERT (temporaneamente)
- ------------------------------------------------------------------------------
- ------------------------------------------------------------------------------
Paolo Amendola Phone. +39 80 5443194
GARR-CERT / I.N.F.N. Sezione di Bari Fax. +39 80 5442470
Bari, Italy email. paolo.amendola@ba.infn.it
PGP key: http://security.fi.infn.it/cgi-bin/spgpk.pl
- ------------------------------------------------------------------------------
-----BEGIN PGP SIGNATURE-----
Version: 2.6.3ia
Charset: noconv
iQCVAwUBNylsrCkc7/YS2hptAQGtOQP+JUmSyRhaaqurD4emiGagQB8LjH27gS4Q
D1CN3JmiS+rk8qWjsYn9P4df0JntgkF5Q7IBLB6XoRuTSv9vBX/MMG7yBIJ5Qnk+
2C+udaAuxh/jMjTjKiUqeDdEFuUgxFSF4NZ536CqfGdYTMUwJBTZV7FTUmDYcyRh
R/QXmetocng=
=BXSL
-----END PGP SIGNATURE-----
GARR-CERT Security Alert
- ------------------------------------------------------------------------------
Alert ID: A-99002C
Data di creazione: Fri Apr 30 10:38:46 1999
Titolo: acquisizione di privilegi di Administrator su WNT 4.0
Gravita': media
- ------------------------------------------------------------------------------
1) Descrizione del problema
Ogni volta che un utente si alloca per la prima volta su di una macchina Windows
NT Workstation o Server, viene creata nel Registry una chiave in cui viene
scritto, tra le altre cose, il puntatore su disco al profilo dell'utente (cioe'
una directory in cui sono memorizzate le sue impostazioni personalizzate). In
una installazione di default del sistema operativo, pero', la sezione del
Registry dove vengono scritte queste informazioni e' accessibile in scrittura ad
"Everyone". Questo consentirebbe ad un utente locale di alterare il puntatore al
profilo di Administrator facendo in modo che punti ad un profilo "trojan" creato
dall'utente stesso.
All'interno del profilo, tra le altre cose, c'e' la struttura del "Menu Avvio",
che e' personalizzabile per ogni utente. Basterebbe ad un utente inserire nella
sezione "Esecuzione Automatica" (o "Startup" per la versione inglese) un file
con estensione .BAT che contenga il seguente comando:
net groups "Domain Admins"
In questo modo l'utente viene aggiunto al gruppo "Domain Admins".
2) Piattaforme interessate
Windows NT 4.0 Workstation e Server fino a SP4.
3) Impatto
Utenti del dominio possono acquisire privilegi di Administrator.
4) Soluzioni
Modificare i privilegi di accesso alla seguente chiave del Registry:
HKLMSoftwareMicrosoftWindows NTCurrentVersionProfileList
Basta che sia accessibile in scrittura solo all'utente SYSTEM e leggibile per
tutti.
Il problema sara' risolto in un futuro Service Pack.
5) Riferimenti
White Paper della Microsoft che spiega come rendere sicura una installazione di
Windows NT
http://www.microsoft.com/NTServer/security/exec/overview/Secure_NTInstall.asp
Appendice
GARR-CERT Home Page
http://security.fi.infn.it/GARR-CERT (temporaneamente)
- ------------------------------------------------------------------------------
- ------------------------------------------------------------------------------
Paolo Amendola Phone. +39 80 5443194
GARR-CERT / I.N.F.N. Sezione di Bari Fax. +39 80 5442470
Bari, Italy email. paolo.amendola@ba.infn.it
PGP key: http://security.fi.infn.it/cgi-bin/spgpk.pl
- ------------------------------------------------------------------------------
-----BEGIN PGP SIGNATURE-----
Version: 2.6.3ia
Charset: noconv
iQCVAwUBNylsrCkc7/YS2hptAQGtOQP+JUmSyRhaaqurD4emiGagQB8LjH27gS4Q
D1CN3JmiS+rk8qWjsYn9P4df0JntgkF5Q7IBLB6XoRuTSv9vBX/MMG7yBIJ5Qnk+
2C+udaAuxh/jMjTjKiUqeDdEFuUgxFSF4NZ536CqfGdYTMUwJBTZV7FTUmDYcyRh
R/QXmetocng=
=BXSL
-----END PGP SIGNATURE-----