Debilidad en autoprotección de Outpost Firewall

Debilidad en autoprotección de Outpost Firewall
	VSantivirus No 2347 Año 11, martes 16 de enero de 2007 Debilidad en autoprotección de Outpost Firewall http://www.vsantivirus.com/vul-outpost-150107.htm Por Angela Ruiz angela@videosoft.net.uy Outpost Firewall protege sus propios archivos y directorios, impidiendo que otras aplicaciones puedan manipularlos. La protección se realiza mediante ganchos a la tabla SSDT. SSDT (System Service Descriptor Table), es un servicio de tabla de descriptores utilizado por Windows para encaminar las llamadas del sistema hacia las APIs, el conjunto de rutinas que las aplicaciones utilizan para solicitar y efectuar servicios de nivel inferior. "Engancharse" al servicio SSDT, es una de las técnicas frecuentemente utilizadas por los rootkits, los que al modificar esta tabla, pueden reorientar la ejecución de las aplicaciones hacia su propio código, suplantando la función originalmente llamada. Esto puede ser implementado tanto por rootkits maliciosos, como por software que utiliza técnicas antirootkits, o de autoprotección, como el caso del Outpost. Sin embargo, en el caso del conocido cortafuego, la implementación de ésta protección, no previene que aplicaciones maliciosas puedan llamar a una determinada API nativa, para reemplazar archivos que no son utilizados por el sistema cuando dicha función es llamada. Uno de los archivos que puede ser suplantado con dicha técnica, es SandBox.sys, el driver que implementa los mecanismos de autoprotección de este firewall, ubicado en el directorio donde se instala el Outpost. Un atacante podría reemplazar este archivo con una copia falsa que se cargaría y ejecutaría en un próximo reinicio de Windows. Esto daría al atacante el control total del sistema, debido a que dicho driver se ejecuta con los mayores privilegios (modo kernel). Ésta acción puede implementarse sin el conocimiento del usuario. Son vulnerables las siguientes versiones del programa: - Outpost Firewall PRO 4.0 (1005.590.123) - Outpost Firewall PRO 4.0 (971.584.079) - Outpost Firewall PRO 4.0 (964.582.059) Versiones anteriores también podrían ser vulnerables. La información fue hecha pública el mismo día que se avisó al fabricante, por lo que no existe al momento de ésta alerta, ninguna solución oficial al problema. Más información: Outpost Bypassing Self-Protection using file links Vulnerability http://www.matousec.com/info/advisories/Outpost-Bypassing-Self-Protection-using-file-links.php Créditos: David Matousek (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com