Buletin Keamanan

Buletin Keamanan Microsoft MS01-059 - Kritis

Buffer yang Tidak Dicentang di Universal Plug and Play dapat Menyebabkan Kompromi Sistem

Diterbitkan: 20 Desember 2001 | Diperbarui: 09 Mei 2003

Versi: 1.3

Aslinya diposting: 20 Desember 2001
Diperbarui: 09 Mei 2003

Ringkasan

Siapa harus membaca buletin ini:
Pelanggan yang menggunakan Microsoft® Windows® ME atau XP, atau yang telah menginstal klien Windows XP Internet Koneksi ion Sharing di Windows 98 atau 98SE.

Dampak kerentanan:
Jalankan kode pilihan penyerang.

Peringkat Tingkat Keparahan Maksimum:
Kritis

Rekomendasi:
Microsoft sangat mendesak semua pelanggan Windows XP untuk segera menerapkan patch. Pelanggan yang menggunakan Windows 98, 98SE, atau ME harus menerapkan patch jika dukungan Universal Plug and Play diinstal dan berjalan.

Perangkat Lunak yang Terpengaruh:

  • Microsoft Windows 98
  • Microsoft Windows 98SE
  • Microsoft Windows ME
  • Microsoft Windows XP

Informasi Umum

Detail teknis

Deskripsi teknis:

Universal Plug and Play (UPnP) memungkinkan komputer untuk menemukan dan menggunakan perangkat berbasis jaringan. Windows ME dan XP mencakup dukungan UPnP asli; Windows 98 dan 98SE tidak menyertakan dukungan UPnP asli, tetapi dapat diinstal melalui klien Internet Koneksi ion Sharing yang dikirim dengan Windows XP. Buletin ini membahas dua kerentanan yang memengaruhi implementasi UPnP ini. Meskipun kerentanan tidak terkait, keduanya melibatkan bagaimana komputer berkemampuan UPnP menangani penemuan perangkat baru di jaringan.

Kerentanan pertama adalah kerentanan buffer yang diserbu. Ada buffer yang tidak dicentang di salah satu komponen yang menangani arahan NOTIFY - pesan yang mengiklankan ketersediaan perangkat berkemampuan UPnP di jaringan. Dengan mengirim arahan NOTIFY yang salah bentuk khusus, penyerang dapat menyebabkan kode berjalan dalam konteks subsistem UPnP, yang berjalan dengan hak istimewa Sistem pada Windows XP. (Pada Windows 98 dan Windows ME, semua kode dijalankan sebagai bagian dari sistem operasi). Ini akan memungkinkan penyerang untuk mendapatkan kontrol penuh atas sistem.

Hasil kerentanan kedua karena implementasi UPnP tidak cukup membatasi langkah-langkah yang akan mereka dapatkan informasi tentang menggunakan perangkat yang baru ditemukan. Dalam arahan NOTIFY yang dikirim perangkat UPnP baru adalah informasi yang memberi tahu komputer yang tertarik tempat mendapatkan deskripsi perangkatnya, yang mencantumkan layanan yang ditawarkan perangkat dan instruksi untuk menggunakannya. Secara desain, deskripsi perangkat dapat berada di server pihak ketiga daripada pada perangkat itu sendiri. Namun, implementasi UPnP tidak mengatur secara memadai bagaimana ia melakukan operasi ini, dan ini menimbulkan dua skenario penolakan layanan yang berbeda:

  • Penyerang dapat mengirim arahan NOTIFY ke komputer berkemampuan UPnP, menentukan bahwa deskripsi perangkat harus diunduh dari port tertentu di server tertentu. Jika server dikonfigurasi untuk hanya menggemakan permintaan unduhan kembali ke layanan UPnP (misalnya, dengan menjalankan layanan gema pada port tempat komputer diarahkan), komputer dapat dibuat untuk memasuki siklus unduhan tanpa akhir yang dapat mengonsumsi beberapa atau semua ketersediaan sistem. Penyerang dapat membuat dan mengirim arahan ini ke komputer korban secara langsung, dengan menggunakan alamat IP komputer. Atau, dia dapat mengirim arahan yang sama ini ke domain siaran dan multicast dan menyerang semua mesin yang terpengaruh dalam earshot, mengkonsumsi beberapa atau semua ketersediaan sistem tersebut.
  • Penyerang dapat menentukan server pihak ketiga sebagai host untuk deskripsi perangkat dalam arahan NOTIFY. Jika cukup mesin merespons arahan, itu bisa memiliki efek membanjiri server pihak ketiga dengan permintaan palsu, dalam penolakan terdistribusi serangan layanan. Seperti halnya skenario pertama, penyerang dapat mengirim arahan kepada korban secara langsung, atau ke domain siaran atau multicast.

Administrator sistem harus menyadari bahwa patch memperkenalkan fungsionalitas baru yang memungkinkan mereka menyesuaikan bagaimana sistem yang di-patch melakukan penemuan perangkat. Seperti yang dibahas dalam artikel Pangkalan Pengetahuan Microsoft Q315056, patch memperkenalkan kemampuan untuk mengonfigurasi layanan UPnP untuk mengunduh deskripsi perangkat hanya dari subnet lokal, subnet atau jaringan privat, hanya jaringan privat, atau dari alamat IP apa pun. Secara default, sistem yang di-patch hanya akan memeriksa subnet atau jaringan privat untuk deskripsi perangkat.

Pelanggan yang tidak dapat menginstal patch dapat melindungi sistem mereka dengan menonaktifkan dukungan UPnP, seperti yang dibahas dalam FAQ.

Faktor mitigasi:

Umum:

  • Jaringan perusahaan dapat dilindungi dari serangan berbasis Internet dengan mengikuti praktik firewall standar (khususnya, memblokir port 1900 dan 5000).
  • Jaringan rumah yang menggunakan Internet Koneksi ion Sharing akan dilindungi dari serangan berbasis Internet, karena Internet Gateway tidak akan meneruskan paket. Hanya mesin gateway yang berisiko.

Windows 98 dan 98SE:

  • Tidak ada dukungan UPnP asli untuk sistem ini. Sistem Windows 98 dan 98SE hanya akan terpengaruh jika Internet Koneksi ion Sharing Client dari Windows XP telah diinstal pada sistem.
  • Komputer Windows 98 dan 98SE yang telah menginstal klien Internet Koneksi ion Sharing dari sistem Windows XP yang telah menerapkan patch ini tidak rentan.

Windows ME:

  • Windows ME menyediakan dukungan UPnP asli, tetapi tidak diinstal atau berjalan secara default. (Namun, beberapa OEM mengonfigurasi sistem bawaan dengan layanan yang diinstal dan berjalan).

Windows XP:

  • Internet Koneksi ion Firewall, yang diaktifkan secara default setiap kali koneksi jaringan ke Internet dikonfigurasi melalui salah satu wizard sistem, akan melindungi dari serangan menggunakan pesan unicast. Ini akan memungkinkan serangan hanya melalui siaran atau multicast, yang biasanya mengharuskan penyerang berada di segmen jaringan yang sama dengan sistem yang rentan.

Peringkat Tingkat Keparahan:

Buffer Overrun:

Server Internet Server Intranet Sistem Klien
Windows 98, 98SE Tidak Tidak Sedang
Windows ME Tidak Tidak Sedang
Windows XP Tidak Tidak Kritis

Penolakan Kerentanan Layanan:

Server Internet Server Intranet Sistem Klien
Windows 98, 98SE Tidak Tidak Sedang
Windows ME Tidak Tidak Sedang
Windows XP Tidak Tidak Sedang

Tingkat keparahan agregat dari semua kerentanan yang dihilangkan oleh patch:

Server Internet Server Intranet Sistem Klien
Windows 98, 98SE Tidak Tidak Sedang
Windows ME Tidak Tidak Sedang
Windows XP Tidak Tidak Kritis

Penilaian di atas didasarkan pada jenis sistem yang terpengaruh oleh kerentanan, pola penyebaran khas mereka, dan efek yang mengeksploitasi kerentanan akan ada pada mereka. Kekritisan untuk Windows XP dinilai lebih tinggi daripada untuk Windows 98, 98SE dan ME, karena hanya Windows XP yang rentan dalam kondisi defaultnya.

Pengidentifikasi kerentanan:

Versi Yang Diuji:

Microsoft menguji Windows ME, Windows NT 4.0, Windows 2000 dan Windows XP, dan layanan UPnP yang dapat diinstal pada Windows 98 dan 98SE, untuk menilai apakah mereka terpengaruh oleh kerentanan ini. Versi sebelumnya tidak lagi didukung dan mungkin atau mungkin tidak terpengaruh oleh kerentanan ini

Tanya jawab umum

Kerentanan apa yang dibahas dalam buletin ini?
Buletin ini membahas dua kerentanan, keduanya memengaruhi subsistem Universal Plug and Play di Windows 98, Windows 98SE, Windows ME dan Windows XP.

Apa itu Universal Plug and Play?
Universal Plug and Play (UPnP) adalah kemampuan yang memungkinkan perangkat di jaringan menemukan perangkat lain dan menentukan cara bekerja dengannya. UPnP paling mudah dipahami oleh perbandingan dengan kemampuan plug-and-play (PnP) yang sudah dikenal sebagian besar pengguna Windows. PnP memungkinkan sistem operasi mendeteksi perangkat keras baru saat Anda menginstalnya pada sistem. Misalnya, jika Anda menginstal mouse baru ke komputer Anda, PnP memungkinkan Windows mendeteksinya, memuat driver yang diperlukan, dan mulai menggunakannya. UPnP memperluas konsep ini ke perangkat di jaringan, bukan pada sistem lokal itu sendiri. UPnP memungkinkan komputer mempelajari perangkat lain di jaringan, dan menentukan cara menggunakannya. Misalnya, komputer dapat menggunakan UPnP untuk mendeteksi apakah ada printer di jaringan yang dapat digunakan dan mempelajari cara menggunakannya.

Sistem operasi apa yang mendukung UPnP?

  • Baik Windows 98 maupun Windows 98SE tidak menyertakan kemampuan UPnP asli. Ini hanya dapat ditambahkan dengan menginstal perangkat lunak klien untuk Internet Koneksi ion Sharing (ICS) yang disediakan di Windows XP.
  • Windows ME menyertakan kemampuan UPnP asli, tetapi tidak diinstal atau berjalan secara default.
  • Baik Windows NT 4.0 maupun Windows 2000 tidak mendukung UPnP.
  • Windows XP menyertakan kemampuan UPnP asli. Ini diinstal dan berjalan secara default.

Apakah kerentanan memiliki kesamaan selain fakta bahwa mereka melibatkan UPnP?
Ya. Keduanya melibatkan masalah dalam cara subsistem UPnP melakukan penemuan perangkat.

Apa itu penemuan perangkat UPnP, dan bagaimana cara kerjanya?
Penemuan perangkat adalah proses di mana komputer berkemampuan UPnP mengetahui ketersediaan perangkat yang dapat mereka gunakan, dan mempelajari cara meminta layanan dari mereka. Ketika komputer berkemampu UPnP boot, mungkin sudah ada perangkat di jaringan yang dapat digunakannya. Untuk menentukan apakah ini masalahnya, komputer mengirim permintaan siaran (disebut direktif M-SEARCH), meminta agar perangkat berkemampuan UPnP dalam earshot meresponsnya secara langsung dan memberikan informasi tentang penggunaannya. Demikian pula, ketika perangkat yang mendukung boot UPnP (misalnya, printer berkemampu UPnP), mungkin sudah ada komputer berkemampu UPnP di jaringan yang ingin menggunakannya. Perangkat menyiarkan pesan (disebut direktif NOTIFY) ke semua komputer dalam earshot, mengumumkan kehadirannya di jaringan dan mengundang komputer untuk menggunakan layanannya.

Misalkan komputer berkemampu UPnP mengetahui bahwa perangkat tertentu tersedia. Bagaimana cara mempelajari cara menggunakannya?
Komputer memeriksa untuk melihat apakah ada aplikasi yang telah mendaftarkan minat pada jenis perangkat yang dipelajarinya. Jika ada, komputer berkonsultasi dengan informasi yang dikirim oleh perangkat, yang akan berisi URL tempat deskripsi perangkat - daftar layanan yang ditawarkan oleh perangkat dan instruksi tentang cara memintanya - dapat diunduh. Komputer kemudian mengunduh deskripsi perangkat dan dapat mulai menggunakan perangkat.

Apa saja kerentanan yang memengaruhi layanan UPnP?
Ada dua kerentanan:

  • Kerentanan pertama dapat memungkinkan penyerang untuk mendapatkan kontrol penuh atas sistem yang terpengaruh.
  • Kerentanan kedua dapat memungkinkan penyerang untuk mencegah sistem yang terpengaruh menyediakan layanan yang berguna atau menggunakan sistem beberapa pengguna dalam penolakan serangan layanan terdistribusi terhadap satu target.

Apa cakupan kerentanan pertama?
Ini buffer diserbu kerentanan. Penyerang yang berhasil mengeksploitasi kerentanan ini dapat memperoleh kontrol penuh atas sistem yang terpengaruh. Jelas, ini adalah kerentanan serius, dan kami sangat mendorong pelanggan untuk segera menerapkan patch.

Apa yang menyebabkan kerentanan?
Hasil kerentanan karena salah satu komponen implementasi UPnP Windows XP, Windows ME, Windows 98, dan Windows 98SE berisi buffer yang tidak dicentang yang dapat diserbu melalui arahan UPnP NOTIFY yang salah bentuk khusus.

Apa yang salah dengan bagaimana subsistem UPnP menangani arahan NOTIFY?
Salah satu komponen dalam implementasi ini yang terlibat dalam pemrosesan arahan NOTIFY berisi buffer yang tidak dicentang. Jika subsistem UPnP menerima arahan NOTIFY yang salah bentuk dengan cara tertentu, efeknya adalah menimpa buffer dengan data dari direktif NOTIFY. Jika data ini dipilih dengan hati-hati, itu akan memiliki efek mengubah operasi subsistem UPnP saat sedang berjalan.

Apa yang akan memungkinkan penyerang untuk melakukan?
Penyerang yang berhasil mengeksploitasi kerentanan ini dapat mengubah subsistem UPnP untuk melakukan tugas yang diinginkan. Karena subsistem UPnP berjalan sebagai bagian dari sistem operasi, ini akan memberi penyerang kontrol penuh atas sistem.

Bagaimana penyerang dapat mengeksploitasi kerentanan?
Penyerang dapat mengeksploitasi kerentanan dengan membuat arahan NOTIFY dengan malformasi yang diperlukan dan mengirimkannya ke komputer lain di jaringan.

Bagaimana penyerang mengirim arahan NOTIFY ke komputer lain?
Arahan NOTIFY dapat dikirim baik sebagai pesan unicast (yaitu, yang dikirim langsung ke komputer tertentu) atau sebagai multicast atau siaran (yaitu, yang disiarkan ke sekelompok komputer). Jenis spesifik yang dipilih oleh penyerang akan menjadi penting. Formulir unicast akan memungkinkan penyerang menjangkau lebih besar, tetapi dengan biaya perlu mengetahui informasi lebih lanjut tentang target. Sebaliknya, formulir multicast akan memungkinkan penyerang untuk membahayakan beberapa mesin tanpa mengetahui banyak tentang mereka, tetapi dengan biaya membatasi cakupan serangan ke komputer pada segmen jaringan yang sama dengan penyerang.

Bagaimana serangan melalui pesan NOTIFY unicast berfungsi?
Dalam skenario unicast, penyerang akan mengirim pesan NOTIFY langsung ke komputer lain, seolah-olah membalas arahan M-SEARCH dari komputer. Keuntungan menggunakan pesan unicast adalah bahwa penyerang akan dapat menyerang mesin apa pun yang dapat dia kirimi pesan NOTIFY. Penyerang berpotensi membahayakan mesin dari jarak jauh dengan menggunakan pesan unicast. Kerugiannya adalah bahwa penyerang perlu mengetahui alamat IP target. Sebagian besar jaringan menggunakan Dynamic Host Configuration Protocol (DHCP) untuk mengelola kumpulan alamat IP mereka dan, akibatnya, alamat IP komputer tertentu dapat berubah cukup sering. Meskipun dimungkinkan untuk mempelajari alamat IP mesin, itu bisa memerlukan pekerjaan yang substansial tergantung pada keadaan.

Bagaimana serangan melalui pesan NOTIFY multicast atau siaran berfungsi?
Dalam skenario multicast atau siaran, penyerang akan mengirim pesan NOTIFY ke alamat multicast atau siaran, seolah-olah dari perangkat berkemampuan UPnP baru. Keuntungan menggunakan pesan-pesan ini adalah bahwa penyerang tidak perlu mengetahui alamat IP komputer lain, dan berpotensi membahayakan sejumlah besar mesin dengan satu serangan. Kerugian bagi penyerang adalah bahwa sebagian besar router dan firewall tidak meneruskan pesan multicast dan siaran. (Untuk memahami alasannya, pertimbangkan apa yang akan terjadi jika mereka meneruskannya - setiap multicast atau siaran dari komputer mana pun di dunia akan dikirimkan ke setiap komputer lain di dunia, dan Internet akan dengan cepat menjadi rawa dengan data). Akibatnya, serangan melalui multicast atau siaran umumnya hanya akan efektif dalam segmen jaringan penyerang, atau subnet.

Apakah ini berarti bahwa kerentanan tidak serius?
Sebaliknya, itu sangat serius. Mungkin ada ratusan komputer pada subnet, dan kerentanan ini akan memungkinkan penyerang untuk mendapatkan kontrol penuh atas semuanya dengan satu arahan NOTIFY. Kami sangat mendesak pelanggan untuk segera menerapkan patch.

Apakah firewall perusahaan akan melindungi dari serangan dari Internet?
Ya. Sebagian besar firewall perusahaan memblokir pesan multicast dan pesan unicast yang tidak diminta. Selain itu, memblokir port 1900 dan 5000 membantu melindungi dari serangan berbasis Internet.

Apakah Internet Koneksi ion Firewall melindungi komputer Windows XP dari kerentanan ini?
Internet Koneksi ion Firewall (ICF) memblokir pesan unicast yang tidak diminta, sehingga akan melindungi sistem Windows XP dari serangan yang dipasang menggunakan unicast. Ini tidak akan memberikan perlindungan total - ICF tidak memblokir multicast atau siaran - tetapi akan secara signifikan mengurangi risiko bagi pengguna Windows XP. Seperti yang kita bahas di atas, pesan unicast dapat dikirim melalui jarak jauh, di mana multicast dan siaran biasanya tidak dapat. Ini berarti bahwa, untuk pengguna Windows XP, penyerang kemungkinan perlu berada di segmen jaringan yang sama untuk mengeksploitasi kerentanan.

Apakah ICF diaktifkan secara default di Windows XP?
Secara umum, ICF secara otomatis diaktifkan kapan saja wizard digunakan untuk membuat koneksi jaringan ke Internet. Misalnya, ICF diaktifkan dalam semua skenario berikut:

  • Ketika sistem Windows XP digunakan host Berbagi internet Koneksi ion.
  • Ketika koneksi ke Internet dibuat melalui Wisaya Koneksi ion Baru.
  • Ketika koneksi ke Internet diidentifikasi dalam Panduan Penyetelan Jaringan.
  • Ketika koneksi Internet dibuat atau diidentifikasi di wizard Selamat Datang di Windows.

ICF tidak diaktifkan secara default dalam kasus seperti berikut:

  • Jika pengguna memilih untuk membuat koneksi jaringan secara manual. Dalam kasus seperti itu, semua opsi jaringan - termasuk ICF - harus diaktifkan atau dinonaktifkan secara manual.
  • Jika koneksi tidak langsung terhubung ke Internet - misalnya, jika koneksi ke LAN. Dalam kasus seperti itu, umumnya sudah ada firewall yang melindungi seluruh jaringan.
  • Jika sistem dimutakhirkan dari versi Windows sebelumnya dan sudah memiliki koneksi yang ada ke Internet. Dalam hal ini, ICF dapat diaktifkan secara manual.

Untuk informasi selengkapnya tentang pengoperasian ICF dan kondisi di mana ICF diaktifkan secara default, silakan lihat "Gambaran Umum Fitur Internet Koneksi ion Firewall".

Saya memiliki jaringan rumah yang menggunakan Internet Koneksi ion Sharing untuk tersambung ke Internet. Bisakah seseorang di Internet menyerang mesin di interior jaringan saya?
Tidak. Gateway Berbagi internet Koneksi ion tidak akan meneruskan pesan NOTIFY, terlepas dari apakah mereka dikirim oleh unicast, multicast, atau siaran. Ini berarti bahwa penyerang berbasis Internet tidak dapat mengeksploitasi kerentanan terhadap sistem pada interior jaringan. Namun, dia bisa mengeksploitasi kerentanan terhadap sistem gateway.

Bagaimana cara mengetahui apakah saya membutuhkan patch?
Untuk Windows XP, 98 dan 98SE, cukup mudah untuk mengetahui apakah Anda memerlukan patch:

  • Jika Anda menjalankan Windows XP, Anda memerlukan patch. Semua sistem Windows XP rentan dalam konfigurasi defaultnya.
  • Jika Anda menggunakan Windows 98 atau Windows 98SE, Anda hanya memerlukan patch jika Anda telah menginstal perangkat lunak klien untuk Berbagi internet Koneksi ion.

Untuk Windows ME, ini sedikit lebih sulit. Windows ME memang berisi subsistem UPnP, tetapi secara default tidak berjalan. Namun, beberapa produsen perangkat keras menyalakannya di sistem yang telah dikonfigurasi sebelumnya. Untuk menentukan apakah subsistem UPnP berjalan, ikuti langkah-langkah berikut:

  1. Klik Mulai, Pengaturan, lalu pilih Panel Kontrol.
  2. Pilih Tambahkan/Hapus Program.
  3. Pilih tab berjudul Penyetelan Windows.
  4. Di bidang Komponen, pilih Komunikasi, lalu Detail.
  5. Gulir ke bawah dan lihat apakah kotak di sebelah kiri Universal Plug and Play dicentang. Jika ya, Anda memerlukan patch; Jika tidak, Anda tidak.

Apa yang dilakukan patch?
Patch menghilangkan kerentanan dengan melembagakan penanganan buffer yang tepat di implementasi Windows XP, Windows ME, Windows 98 dan Windows 98SE UPnP.

Jika saya tidak dapat menginstal patch, apakah ada cara lain untuk melindungi sistem saya?
Ya. Anda dapat melindungi sistem Anda dengan menonaktifkan kemampuan UPnP. Namun, sebelum melakukannya, Anda harus memahami bahwa ini akan memengaruhi bagaimana fungsi sistem tertentu beroperasi. Terutama, menonaktifkan UPnP di Windows XP akan memengaruhi pengoperasian fitur Internet Koneksi ion Sharing (ICS), yang memungkinkan beberapa komputer Windows berbagi satu koneksi melalui sistem Windows XP ke Internet. Jika kemampuan UPnP dinonaktifkan, klien ICS tidak akan dapat mendeteksi gateway Internet secara otomatis, dan Anda harus mengonfigurasi informasi gateway secara manual di setiap sistem klien. Berikut cara menonaktifkan kemampuan UPnP: Windows XP:

  1. Masuk menggunakan akun yang memiliki hak administratif.
  2. Klik Mulai, lalu klik kanan pada Komputer Saya dan pilih Kelola.
  3. Di panel sebelah kiri, klik "+" di samping Layanan dan Aplikasi, lalu klik Layanan.
  4. Di panel kanan, klik kanan pada Layanan Penemuan SSDP dan pilih Properti.
  5. Dalam daftar tarik-turun berjudul Jenis Startup, pilih Dinonaktifkan.
  6. Di bagian Status Layanan dialog, klik Hentikan.
  7. Klik OK untuk keluar dari dialog, lalu tutup jendela Manajemen Komputer.

Windows ME:

  1. Klik Mulai, Pengaturan, lalu pilih Panel Kontrol.
  2. Pilih Tambahkan/Hapus Program.
  3. Pilih tab berjudul Penyetelan Windows.
  4. Di bidang Komponen, pilih Komunikasi, lalu Detail.
  5. Hapus centang pada kotak untuk Universal Plug and Play.
  6. Klik OK untuk keluar dari dialog, lalu tutup dialog Penyetelan Windows.
  7. Reboot komputer.

Windows 98 atau 98SE:

  1. Klik Mulai, Pengaturan, lalu pilih Panel Kontrol.
  2. Pilih Tambahkan/Hapus Program.
  3. Pilih tab berjudul Penyetelan Windows.
  4. Di bidang Komponen, pilih Komunikasi, lalu Detail.
  5. Hapus centang pada kotak untuk Universal Plug and Play.
  6. Klik OK untuk keluar dari dialog, lalu tutup dialog Penyetelan Windows.
  7. Reboot komputer.

Dalam instruksi Windows XP di atas, Anda mengatakan untuk menonaktifkan layanan Penemuan SSDP, tetapi saya melihat layanan yang disebut "Host Perangkat UPnP". Haruskah saya menonaktifkan layanan ini juga?
Tidak. Terlepas dari namanya, layanan Host Perangkat UPnP tidak terkait dengan kerentanan ini, dan tidak perlu menonaktifkannya. Layanan Host Perangkat UPnP memungkinkan layanan lain di Windows XP untuk mengiklankan diri mereka seolah-olah mereka adalah perangkat UPnP, dan tidak terlibat dengan cara apa pun dengan cara sistem menangani perangkat UPnP yang sebenarnya.

Jika saya menginstal patch pada sistem Windows XP, dan kemudian kemudian menggunakan sistem tersebut untuk menginstal perangkat lunak klien untuk Internet Koneksi ion Sharing pada sistem Windows 98, 98SE atau ME, apakah saya perlu menerapkan patch ke dalamnya?
Ada dua cara untuk menginstal klien Internet Koneksi ion Sharing (ICS), dan jawabannya tergantung pada metode mana yang Anda pilih. Salah satu caranya adalah membuat disket Wizard Penyiapan Jaringan pada sistem Windows XP, lalu menggunakan floppy untuk menginstal klien ICS pada apa yang disebut sistem downlevel (yaitu, yang menjalankan Windows 98, 98SE atau ME). Jika Anda menggunakan metode ini, dan sistem Windows XP tempat Anda membuat disket sudah memiliki patch, Anda tidak perlu menambal sistem downlevel -- Wizard Penyetelan Jaringan akan menginstal versi ICS yang sudah memiliki perbaikan. Di sisi lain, jika Anda membuat floppy pada sistem Windows XP tidak memiliki patch, Anda harus menambal sistem downlevel setelah menginstal ICS. (Tentu saja, Anda juga harus menambal sistem Windows XP). Cara lain untuk menginstal klien ICS pada sistem downlevel adalah dengan menginstalnya langsung dari CD Windows XP. Jika Anda menggunakan metode ini, Anda harus menginstal patch pada sistem downlevel.

Saya mencoba menginstal patch pada sistem Windows 98 saya, tetapi patch menampilkan pesan yang mengatakan bahwa itu tidak ditujukan untuk versi Windows saya. Apa yang terjadi? Saya telah memeriksa kembali bahwa saya menginstal patch versi Windows 98. Patch untuk Windows 98 dan 98SE hanya akan diinstal jika klien ICS ada di sistem, karena itulah satu-satunya cara kemampuan UPnP dapat ditambahkan ke sistem. Pesan yang Anda lihat berarti bahwa klien ICS tidak ada di sistem, dan patch oleh karena itu tidak diperlukan.

Apa cakupan kerentanan kedua?
Kerentanan kedua adalah penolakan kerentanan serangan layanan. Ini dapat digunakan dalam salah satu dari dua cara - dapat digunakan dalam serangan yang hanya akan melibatkan satu komputer, dan akan memperlambat atau menghentikan performanya, atau dapat digunakan dalam penolakan terdistribusi serangan layanan, di mana penyerang akan mengarahkan beberapa mesin untuk bergabung melawan komputer yang berbeda dan membawanya dengan data. Kerentanan ini tidak dapat digunakan untuk mendapatkan kontrol administratif atas sistem - satu-satu penggunaannya adalah untuk mengganggu upaya pengguna yang sah untuk menggunakannya.

Apa yang menyebabkan kerentanan?
Hasil kerentanan karena implementasi UPnP di Windows 98, Windows 98SE, Windows ME, dan Windows XP tidak menerapkan batasan yang cukup untuk proses yang mereka ikuti saat mengunduh deskripsi perangkat untuk perangkat berkemampuan UPnP.

Apa proses di mana komputer menemukan dan mengunduh deskripsi perangkat?
Ketika komputer berkemampuan UPnP menerima arahan NOTIFY, ia memeriksa untuk melihat apakah aplikasi telah mendaftarkan minat pada jenis perangkat yang mengirim NOTIFY. Jika ada, komputer berkonsultasi dengan direktif NOTIFY, yang berisi alamat mesin dan nomor port tempat deskripsi perangkat dapat diunduh. Komputer kemudian menghubungi komputer yang ditentukan dan meminta deskripsi perangkat darinya.

Apa yang salah dengan cara subsistem UPnP menangani deskripsi perangkat?
Ada dua masalah. Pertama, subsistem tidak membatasi ukuran deskripsi perangkat yang diunduhnya, juga tidak memeriksa untuk melihat apakah data yang diakui deskripsi perangkat benar-benar valid. Kedua, subsistem tidak mengambil langkah-langkah yang tepat untuk memastikan bahwa komputer yang diarahkannya sebenarnya adalah situs unduhan untuk deskripsi perangkat.

Apa masalah pertama yang memungkinkan penyerang melakukan?
Masalah pertama dapat memungkinkan penyerang mengirim sistem pengguna ke situs unduhan palsu hanya untuk tujuan memperlambat atau menghentikan sistem pengguna.

Bagaimana penyerang melakukan serangan seperti itu?
Ada banyak variasi yang dapat digunakan, tetapi berikut adalah skenario yang cukup mudah yang menggambarkan satu kemungkinan serangan. Misalkan penyerang tahu tentang server yang menjalankan layanan Chargen. Chargen adalah layanan TCP/IP standar yang hanya menghasilkan aliran data setiap kali sistem terhubung ke layanan tersebut, dan tidak jarang menemukan server dengan Chargen berjalan. Tentu saja, jika tidak ada server yang berguna, penyerang bisa mengaturnya. Penyerang dapat mengirim arahan NOTIFY ke sistem pengguna, mengiklankan perangkat berkemampuan UPnP baru dan mengarahkan sistem untuk terhubung ke server Chargen. Sistem pengguna akan mengirim permintaan unduhan ke server, yang akan menghasilkan data acak sebagai respons terhadap permintaan. Layanan UPnP akan menginterpretasikan ini sebagai bagian dari deskripsi perangkat, dan memungkinkan unduhan untuk terus tanpa henti, mengonsumsi sumber daya pemrosesan dan ruang disk pada sistem pengguna.

Apakah serangan tersebut akan menyebabkan sistem pengguna terhenti?
Efek serangan akan sangat tergantung pada khususnya skenario, termasuk daya pemrosesan relatif dan ketersediaan kedua sistem, bandwidth jaringan di antara mereka, dan faktor lainnya. Dalam kasus terbaik, serangan mungkin hanya memperlambat performa sistem; dalam kasus terburuk, itu mungkin mengonsumsi hampir semua sumber daya pada sistem, mencegah pekerjaan yang berguna dilakukan.

Bagaimana pengguna dapat melanjutkan layanan normal?
Pengguna dapat memulihkan layanan normal dengan menghentikan dan memulai ulang layanan yang mengontrol penanganan deskripsi perangkat, Layanan Penemuan SSDP

Apa masalah kedua yang memungkinkan penyerang melakukan?
Masalah kedua akan mengaktifkan serangan yang pada dasarnya merupakan kebalikan dari serangan yang dijelaskan di atas. Alih-alih menargetkan sistem pengguna untuk tujuan memperlambatnya, masalah kedua dapat memungkinkan penyerang menyebabkan beberapa sistem berkemampuan UPnP bergabung dalam penolakan terdistribusi serangan layanan yang akan mengkonsumsi semua sumber daya dalam satu sistem pihak ketiga.

Bagaimana cara kerja serangan ini?
Seperti dalam kasus di atas, ada banyak cara untuk mempengaruhi serangan, tetapi satu serangan langsung akan melibatkan pengiriman perintah NOTIFY ke banyak komputer berkemampuan UPnP, mengarahkan mereka semua untuk menghubungi server pihak ketiga untuk deskripsi perangkat. Jika mesin yang terlibat cukup, volume permintaan unduhan yang sangat besar berpotensi memperlambat performa server pihak ketiga, atau berpotensi membawanya sama sekali.

Apakah serangan akan memungkinkan penyerang untuk melakukan sesuatu yang lebih dari menolak layanan kepada seseorang?
Tidak. Tidak satu pun dari serangan ini akan memungkinkan penyerang untuk mendapatkan segala bentuk kontrol administratif atas mesin, atau untuk membahayakan data pada mereka. Keduanya hanya dapat digunakan untuk penolakan serangan layanan.

Bisakah serangan ini, seperti yang ada di kerentanan pertama, dimulai melalui unicast, multicast, dan siaran?
Ya. Seperti dalam kerentanan yang dibahas di atas, serangan di sini dapat dimulai melalui arahan unicast, multicast, atau siaran NOTIFY. Semua pro dan kontra yang sama akan berlaku dalam kasus ini: penyerang dapat menggunakan pesan unicast untuk mendapatkan jangkauan yang lebih besar, tetapi dengan biaya perlu mengetahui alamat IP komputer target; atau dapat menggunakan pesan multicast atau siaran untuk menyerang beberapa mesin tanpa perlu mengetahui alamat IP mereka, dengan biaya membatasi serangan ke mesin pada segmen jaringan yang sama dengan penyerang.

Bagaimana patch mencegah masalah pertama?
Patch mencegah masalah pertama dengan membatasi data yang akan diterima sebagai deskripsi perangkat. Patch menetapkan ukuran maksimum deskripsi perangkat; jika deskripsi perangkat melebihi ukuran tersebut, subsistem UPnP akan menghentikan pengunduhan. Ini juga menyebabkan subsistem memeriksa data saat tiba, dan menghentikan unduhan jika data tidak valid untuk deskripsi perangkat.

Bagaimana patch mencegah masalah kedua?
Patch menghilangkan masalah kedua dengan membatasi di mana subsistem UPnP akan mencari deskripsi perangkat. Patch menyebabkannya memeriksa lokasi yang disediakan dalam pesan NOTIFY untuk deskripsi perangkat, dan hanya melanjutkan dengan unduhan jika lokasi tersebut lulus beberapa pengujian. Subsistem UPnP memeriksa lokasi unduhan sebelum mencoba mengunduh deskripsi perangkat. Secara default, sistem yang di-patch hanya akan mengunduh deskripsi perangkat yang terletak di komputer dalam subnet atau rentang alamat privat yang sama. Subsistem juga memeriksa untuk melihat berapa banyak lompatan router yang diperlukan untuk mencapai lokasi, dan hanya melanjutkan jika jumlah ini cukup kecil. Secara default, sistem yang di-patch hanya akan mengunduh deskripsi perangkat jika mesin yang menghostingnya terletak empat atau lebih sedikit lompatan. Kedua pengaturan ini dapat dikonfigurasi, seperti yang dibahas dalam artikel Microsoft Knowledge Base Q315056. Selain itu, patch memperkenalkan mekanisme penundaan untuk memudahkan penggunaan jaringan. Sistem yang di-patch akan mengunduh deskripsi perangkat dengan tarif yang berbeda, tergantung pada seberapa jauh lokasi unduhan. Unduh lokasi yang berada di jaringan publik seperti Internet diunduh lebih lambat, untuk membatasi tuntutan yang ditempatkan pada mereka. Demikian juga, setiap kali sistem mengalami kesalahan saat mengunduh deskripsi perangkat, sistem akan meningkatkan lamanya waktu tunggu sebelum mencoba kembali.

Jika saya tidak dapat menginstal patch, dapatkah saya melindungi dari kerentanan ini dengan menonaktifkan dukungan UPnP?
Ya. Instruksi untuk menonaktifkan dukungan UPnP disediakan di atas.

Ketersediaan patch

Unduh lokasi untuk patch ini

Informasi tambahan tentang patch ini

Platform penginstalan:

  • Patch untuk Windows 98 dan 98SE dapat diinstal pada sistem Windows 98 atau 98SE tempat klien Windows XP Internet Koneksi ion Sharing telah diinstal.
  • Patch untuk Windows ME dapat diinstal pada sistem yang menjalankan Windows ME Gold.
  • Patch untuk Windows XP dapat diinstal pada sistem yang menjalankan Windows XP Gold.

Penyertaan dalam paket layanan di masa mendatang:

  • Tidak ada paket layanan di masa mendatang yang direncanakan untuk Windows 98, 98SE atau ME.
  • Perbaikan untuk masalah ini akan disertakan dalam Windows XP Service Pack 1.

Reboot diperlukan: Ya

Patch pengganti:MS01-054

Memverifikasi penginstalan patch:

Windows 98 dan 98SE:

  • Untuk memverifikasi bahwa patch telah diinstal pada komputer, pilih Mulai, lalu Jalankan, lalu jalankan utilitas QFECheck. Jika patch diinstal, "Windows 98 Q314941 Update" akan tercantum di antara patch yang diinstal.
  • Untuk memverifikasi file individual, gunakan manifes file yang disediakan di artikel Pangkalan Pengetahuan Q314941.

Windows ME:

  • Untuk memverifikasi bahwa patch telah diinstal pada komputer, pilih Mulai, lalu Jalankan, lalu jalankan utilitas QFECheck. Jika patch diinstal, "Windows Millennium Edition Q314757 Update" akan tercantum di antara patch yang diinstal.
  • Untuk memverifikasi file individual, gunakan manifes file yang disediakan di artikel Pangkalan Pengetahuan Q314757.

Windows XP:

  • Untuk memverifikasi bahwa patch telah diinstal pada komputer, konfirmasikan bahwa kunci registri berikut telah dibuat pada komputer:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP1\Q315000.
  • Untuk memverifikasi file individual, gunakan informasi tanggal/waktu dan versi yang disediakan dalam kunci registri berikut:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows XP\SP1\Q315000\Filelist.

Peringatan:

Tidak

Lokalisasi:

Versi terlokalisasi dari patch ini sedang dikembangkan. Setelah selesai, mereka akan tersedia di lokasi yang dibahas dalam "Mendapatkan patch keamanan lainnya".

Mendapatkan patch keamanan lainnya:

Patch untuk masalah keamanan lainnya tersedia dari lokasi berikut:

  • Patch keamanan tersedia dari Pusat Unduhan Microsoft, dan dapat dengan mudah ditemukan dengan melakukan pencarian kata kunci untuk "security_patch".
  • Patch untuk platform konsumen tersedia dari situs web WindowsUpdate .

Informasi Lainnya:

Pengakuan

Microsoft berterima kasih kepada eEye Digital Security (https://www.eeye.com) karena melaporkan masalah ini kepada kami dan bekerja sama dengan kami untuk melindungi pelanggan.

Dukungan:

  • Artikel Pangkalan Pengetahuan Microsoft Q314757, Q314941, Q315000, dan Q315056 membahas masalah ini dan akan tersedia sekitar 24 jam setelah rilis buletin ini. Artikel Pangkalan Pengetahuan dapat ditemukan di situs web Dukungan Online Microsoft.
  • Dukungan teknis tersedia dari Layanan Dukungan Produk Microsoft. Tidak ada biaya untuk panggilan dukungan yang terkait dengan patch keamanan.

Sumber Daya Keamanan:Situs Web Keamanan Microsoft TechNet menyediakan informasi tambahan tentang keamanan di produk Microsoft.

Pengelakan:

Informasi yang diberikan dalam Pangkalan Pengetahuan Microsoft disediakan "apa adanya" tanpa jaminan apa pun. Microsoft menolak semua jaminan, baik tersurat maupun tersirat, termasuk jaminan kelayakan untuk diperdagangkan dan kesesuaian untuk tujuan tertentu. Dalam hal apa pun, Microsoft Corporation atau pemasoknya tidak bertanggung jawab atas kerusakan apa pun termasuk kerusakan langsung, tidak langsung, insidental, konsekuensial, kehilangan keuntungan bisnis atau kerusakan khusus, bahkan jika Microsoft Corporation atau pemasoknya telah diberi tahu tentang kemungkinan kerusakan tersebut. Beberapa negara bagian tidak mengizinkan pengecualian atau batasan tanggung jawab untuk kerusakan konsekuensial atau insidental sehingga batasan sebelumnya mungkin tidak berlaku.

Revisi:

  • V1.0 (20 Desember 2001): Buletin Dibuat.
  • V1.1 (26 Desember 2001): Detail tambahan ditambahkan mengenai bagaimana patch menghilangkan penolakan skenario layanan.
  • V1.2 (31 Desember 2001): Buletin diperbarui untuk memberikan faktor mitigasi tambahan (ICF efektif terhadap serangan unicast, dan ICS melindungi mesin pada interior jaringan rumah), dan untuk memberikan informasi tentang menonaktifkan dukungan UPnP.
  • V1.3 (09 Mei 2003): Tautan unduhan yang diperbarui ke Windows Update.

Dibangun pada 2014-04-18T13:49:36Z-07:00

  • Last updated on