WMF Lücke - Patch verteilen

[heffa 10]

Hallo,

 

es geht um folgendes problem:

http://www.heise.de/security/news/meldung/67866

ich denke das betrifft jeden admin mehr oder weniger...

 

es gibt einen unofiziellen Patch: http://www.hexblog.com/2005/12/wmf_vuln.html

und auch als MSI Packet (nur für englisch): http://users.utu.fi/vpjsuu/wmfhotfix/

 

Batch als Logonscript:

IF EXIST c:\wmf_fixed.log GOTO DONE

\\yourserver\softlocation\wmffix_hexblog13.exe /VERYSILENT /SUPPRESSMSGBOXES

copy \\yourserver\softlocation\wmf_fixed.log c:\wmf_fixed.log

 

ich hab gelesen das es nicht überall funktioniert.... toll.

 

hat jemand ein deutsches MSI Packet oder eine bessere Idee das sicher auszurollen?

 

gruß heffa

[weg5st0 10]

Hallo Heffa,

 

sorry aber, ich glaube das wird kaum einer in seinem produktiven Netz machen.

 

Abhlfe bei uns: in Mails und am Proxy werden wmfs ausgeblendet. Jpgs in mails u.ä. können zwar auch betroffen sein, aber das Mailogateway erkennt das exploit zumindest.

 

zugegeben auch nicht sicher, aber was tust du denn wenn MS einen Fix bringt und du dazu das o.g. runterschmeissen musst....

[PsychoKiller 10]

lt. heise.de haben das mittlerweile alle gängigen virenscanner im griff.

siehe: http://www.heise.de/security/news/meldung/67848

 

greetings

[heffa 10]

aber was tust du denn wenn MS einen Fix bringt und du dazu das o.g. runterschmeissen musst....

wieder runterschmeißen...? mit nem msi packet sollte das kein Problem sein.

[heffa 10]

lt. heise.de haben das mittlerweile alle gängigen virenscanner im griff.

siehe: http://www.heise.de/security/news/meldung/67848

 

greetings

 

da steht aber auch:

Außerdem warnt Marx, dass offensichtlich einige der Hersteller lediglich Signaturen für die von ihm verteilten Testexemplare gebaut hätten, aber keine generische Erkennung des Exploit-Mechanismus haben.

und zu welchem gehört jetzt mein virenscanner?

 

das beduetet nichts anderes dass die mutationen von einigen virenscannern nicht erkannt werden...

[phoenixcp 10]

Sollte....

[PsychoKiller 10]

da steht aber auch:

und zu welchem gehört jetzt mein virenscanner?...

 

also in dem artikel stehen zumindest bei den zwei scanern die ich verwende (home & work) "erkannten nun alle 73 Samples".

 

somit nehm ich an das ich sicher bin.

[Schluml 10]

also in dem artikel stehen zumindest bei den zwei scanern die ich verwende (home & work) "erkannten nun alle 73 Samples".

 

somit nehm ich an das ich sicher bin.

 

Der Schadcode ist nicht direkt mit den bisherigen WMF-Exploits verwandt, sodass die bereits existierenden Viren-Signaturen womöglich nicht ansprechen. Auch von den bisherigen Exploit-Familien sind ausgefeiltere Versionen erschienen, die laut Internet Storm Center von Viren-Scannern noch nicht erkannt werden.

 

Tja was nun... ;)

[heffa 10]

Tja was nun... ;)

ich vertraue in diesem fall lieber meiner gesunden paranoia.

 

viele grüße

 

heffa

[angel-m. 10]

Das Internet Storm Center hat die MSI Datei vor einigen Stunden wegen Problemen zurückgenommen.

 

Ich würde tendenziell schon dahin gehen, das Ding zu verteilen (wenn die MSI Datei wieder da ist). Ich glaub einfach mal nicht, dass unser Virenscanner alle Varianten und Mutationen erkennt.

 

Noch besser scheint mir aber ein gesunder Mix aus beidem: Die paar User mit Adminrechten bekommen das Ding manuell installiert und bei den anderen werdens hoffentlich die eingeschränkten Rechte und der mehrstufige Virenschutz tun.

[zahni 554]

Hier gibt es eine Demo:

 

http://www.heise.de/newsticker/meldung/67884

 

Ich habe auch meinem PC

 

regsvr32 -u %windir%\system32\shimgvw.dll ausgeführt.

 

Bei der Demo öffnet sich jetzt nur Irfanview, das mir was von einem unbekannten Dateiformat erzählt.

 

Morgen bin ich wieder auf Arbeit. Mal sehen was ich mache. Eigentlich sind die PC's alle ziemlich dicht und der Virenscanner ist aktuell.

 

Wenn der Exploit was runterlädt, apspeichert und dann ausfürt, wird das eh nix, wegen via GPO eingestellter Softwareausführungsbeschränkungen. Kurz: Programme dürfen nur von Lokationen ausgeführt werden, wo der User kein Schreibrecht hat. Ok, es gibt ein paar Ausnahmen, aber weder unter "Programme", noch unter "Windows".

 

-Zahni

[weg5st0 10]

am Dienstag nächste Woche ists dann endlich soweit:

 

Microsoft has completed development of the security update for the vulnerability. The security update is now being localized and tested to ensure quality and application compatibility. Microsoft’s goal is to release the update on Tuesday, January 10, 2006, as part of its monthly release of security bulletins. This release is predicated on successful completion of quality testing.

 

siehe

http://www.microsoft.com/technet/security/advisory/912840.mspx

[Pipeline 12]

Noch besser scheint mir aber ein gesunder Mix aus beidem: Die paar User mit Adminrechten bekommen das Ding manuell installiert und bei den anderen werdens hoffentlich die eingeschränkten Rechte und der mehrstufige Virenschutz tun.

 

Moin!

 

Frage dazu:

Sind eingeschränkte Benutzerrechte ein verlässlicher Schutz bei der WMF Vulnerability?