Microsoft WINS permite ejecución remota de código

INS es un protocolo basado en NetBIOS, usado para gestionar la resolución de nombres descriptivos, asociados a las direcciones IP (Internet Protocol) de las computadoras de una red (Ej: SERVIDOR1 = 120.12.0.3), según informa VsAntivirus.

En una red Windows, a cada máquina se le asigna un nombre único, utilizado entre otras cosas para compartir recursos. Generalmente se hace uso de un servidor WINS para resolver los nombres de las máquinas que se encuentren en dos redes IP distintas, o para disminuir la cantidad de solicitudes entre máquinas de una misma red IP. Este servidor permite que las máquinas se registren cuando se encienden o conectan a la red, y mantiene actualizada la tabla de correspondencia NOMBRE = DIRECCION IP.

La vulnerabilidad ocurre por un desbordamiento de búfer en WINS.EXE, producido por el secuestro de un puntero (elemento que indica al procesador determinada dirección de memoria), durante la replicación de paquetes, y afecta a los siguientes productos:

- Microsoft Windows Server 2003, Standard Edition 
- Microsoft Windows Server 2003, Web Edition 
- Microsoft Windows Server 2003, Enterprise Edition 
- Microsoft Windows Server 2003, Datacenter Edition 
- Microsoft Windows 2000 Advanced Server 
- Microsoft Windows 2000 Datacenter Server 
- Microsoft Windows 2000 Server 
- Microsoft Windows NT Server 4.0 Terminal Server 
- Microsoft Windows NT Server 4.0 Standard Edition

Un atacante podría construir un paquete WINS modificado de tal modo, que al ser enviado a este servicio, sobrescriba 16 bytes en una zona arbitraria de la memoria usada por el programa, con la posibilidad de poder ejecutar código con los privilegios del usuario afectado.

Microsoft, que está investigando esta vulnerabilidad, recomienda por el momento filtrar el acceso remoto a los puertos TCP/42 y UDP/42 (usando cortafuego, etc.). Estos puertos son utilizados para iniciar una conexión con servidores WINS.

Otras soluciones serían remover el servicio WINS, o utilizar IPsec (Internet Protocol security).

El servicio WINS no se instala en ninguna configuración por defecto de los sistemas operativos mencionados.


Más información:

How to help protect against a WINS security issue
http://support.microsoft.com/?kbid=890710


Relacionados:

Microsoft WINS Server Vulnerability
http://xforce.iss.net/xforce/alerts/id/184

Microsoft WINS
Memory Overwrite Lets Remote Users Execute Arbitary Code
http://www.securitytracker.com/alerts/2004/Nov/1012341.html

Vulnerability Wins.exe remote vulnerability
http://www.immunitysec.com/downloads/instantanea.pdf

Microsoft Windows WINS
Replication Packet Handling Vulnerability
http://secunia.com/advisories/13328/