|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| NAPTHA, todos los sistemas, menos Win2K son vulnerables | ||
|---|---|---|
VSantivirus No. 151 - Año 4 - Miércoles 6 diciembre de 2000 ¿Qué son las vulnerabilidades NAPTHA? A fines de noviembre, una nueva clase de vulnerabilidades de la red, sensible a ataques DoS (Denial of Service, Denegación de servicio), han sido descubiertas, y se las ha puesto el nombre de NAPTHA. Las vulnerabilidades NAPTHA están basadas en la manera que las pilas TCP/IP y las aplicaciones de la red, manejan el estado de una conexión TCP. Los sistemas operativos afectados por esta vulnerabilidad, son todas las versiones de Windows NT 4.0, Windows 95, 98, 98 Segunda Edición, y Windows Me (Windows 2000 no es afectado). También son afectados estos sistemas y versiones: Netware 5 SP1 Compaq Tru64 UNIX FreeBSD 4.0-REL Linux 2.0 y sistemas basados en este kernel HP-UX 11.00 Red Hat Linux 6.1 IRIX 6.5.7m Slackware 4.0 Solaris 7 Solaris 8 ¿Qué son los ataques D.o.S.? Los ataques de "Denegación de Servicio", en principio consisten en acciones capaces de agotar los recursos de una máquina o de una red, con miles o hasta millones de solicitudes simultáneas. Los efectos de tales ataques varían, pero en principio, lo más notorio es que pueden reducir dramáticamente la velocidad de la computadora o host atacado, además de enlentecer y hasta "matar" la conexión de la red, o aun peor, colgar al sistema operativo. Las vulnerabilidades Naptha actúan de igual manera. Es posible crear una gran cantidad de conexiones TCP, y dejarlas en ciertos estados, de manera que las aplicaciones individuales o el propio sistema operativo se quedan sin recursos, hasta el punto de fallar. En el pasado, este tipo de ataque no era posible llevarlo a cabo de esta manera, ya que los propios recursos del atacante se agotarían. Pero la innovación proporcionada por los ataques Naptha, es que es posible hacer esto, con un muy pequeño gasto de recursos por parte del atacante. Por lo tanto, con suficientes recursos disponibles de parte de éste, cualquier sistema es vulnerable a este ataque. Y si existe un software capaz de hacer esto, las posibilidades de éxito aumentan, porque aunque un sencillo TELNET, podría lograr su objetivo, siempre que el atacante posea una computadora con gran cantidad de RAM, un procesador rápido y un sistema operativo muy optimizado, los recursos consumidos serían demasiados en relación a los daños, como para que esto sea considerado una vulnerabilidad seria. Es que el kernel (el corazón del sistema operativo) guarda un registro por cada conexión TCP. Un gran cantidad de estas conexiones, sin tomar en cuenta el tipo de actividad, requieren más memoria y tiempo de CPU. Naptha es eficiente en esto. No utiliza las formas tradicionales de implementar una conexión TCP, y por lo tanto no usa las APIs estándar. Al contrario del uso normal de las pilas TCP/IP, no lleva ningún registro del estado de la conexión. De esta manera se pueden producir cientos o miles de conexiones y paquetes enviados a la víctima, consumiendo muy pocos recursos de la computadora del atacante. Las pruebas reportadas, indican que sistemas como Novell Netware 5.0 con las últimas actualizaciones quedaron bloqueados después de 3000 conexiones realizadas a un puerto determinado. FreeBSD 4.0-REL quedó inutilizable después de 495 conexiones, y el sistema reportó "too many open files in system" (demasiados archivos abiertos en el sistema). El único sistema que permaneció invulnerable a este ataque fue Windows 2000. Los parches Existe una herramienta creada para testear estas vulnerabilidades, se llama también Naptha, es de BindView RAZOR y funciona con todos los puertos TCP. Un código de demostración está disponible, junto con los detalles completos, en el sitio de BindView RAZOR: http://razor.bindview.com/publish/advisories/adv_NAPTHA.html Microsoft ha liberado un parche que protege el puerto 139 (Netbios), en Windows NT, y está disponible en la siguiente dirección bajo el nombre de "Patch Available for 'Incomplete TCP/IP Packet' Vulnerability", correspondiente a su boletín de seguridad MS00-091. http://www.microsoft.com/Downloads/Release.asp?releaseID=25114 Otros fabricantes aún no han ofrecido una solución. Para Windows 95, 98 y Me, se ofrecen otras soluciones, las que exponemos a continuación. Deshabilitar "Compartir archivos e impresoras" Si tenemos instalado el servicio "Compartir impresoras y archivos para redes Microsoft" en la configuración de redes (Windows 95, 98 y Me), y lo tenemos enlazado a los protocolos TCP/IP, los usuarios externos podrían tener acceso a nuestro PC. Sin embargo, si utilizamos una red, esta opción podría ser necesaria, para compartir recursos con las otras computadoras. Si usted no tiene una red, directamente no necesita este servicio. La recomendación por lo tanto es quitarlo. Si usted tiene una red, lo aconsejable es no enlazar estos recursos a los protocolos TCP/IP. Estos son los pasos a dar:
Esto desactiva la posibilidad de acceder a los recursos compartidos desde Internet. Sin embargo, los usuarios que utilicen cable módem o conexiones DSL, deben realizar este otro tipo de configuración:
Estos procedimientos deben repetirse en todas las computadoras que necesitan compartir archivos u obtener acceso a los archivos compartidos pero cuyo adaptador queda expuesto a Internet.
Comentarios para administradores de sistemas y usuarios
Referencias:
|
||
