Handlingsplan for wmf sårbarhet i windows?

[vinterstum]

Deler av jobben min er å drifte dataparken til en liten skole (70 maskiner). Jeg har lest endel i ferien om en nylig oppdaget sårbarhet knyttet til alle windowssystemer:

 

http://www.microsoft.com/technet/security/...ory/912840.mspx

 

Hva skal man gjøre de kommende dagene? Jeg har lest at noen har laget en patch, men da den ikke kommer fra Microsoft, kan man som ansvarlig drifter installere den da?

 

http://isc.sans.org/diary.php?storyid=994

 

Hva gjør dere andre?

[wsp]

Denne er faktisk ikke helt grei å ha med å gjøre. En ting som kan hjelpe er å blokkere .EMF+WMF-filer i firewall eller proxy serveren. Mulig at det vil hjelpe enda noe å blokkere for mimetypen "application/x-msmetafile". Men dette er ikke en fullverdig løsning da wmf-bilder egentlig ikke trenger å legge med slik informasjon og et potensielt virus *kan* omgå dette.

 

Hvis man kjører virusscan på proxyserveren så er det noe større mulighet for å finne virus der så lenge det er kjent og AV er oppdatert.

 

Hvis det nå skulle komme et skikkelig skummelt virus på det her så må man vurdere om man skal avregistrere fax/bilde-vieweren. Blokkering av alle bilder på proxynivå (eller GPO) er heller ikke populært, men kan være et aktuelt strakstiltak dersom det blir ormtilstander.

 

wsp

[tyldum]

Jeg har lastet ut den aktuelle DLL-en, men føler meg ikke helt trygg. Har en kommune som jeg skal drifte alene så jeg har ikke tatt sjansen på den uoffisielle patchen (selv om den lar seg avinstallere mangler jeg rutiner for dette dersom noe skulle gå gaiken, dermed håper jeg bare på det beste).

 

Det er umulig å blokkere dette på noen annen måte enn å faktisk fjerne sårbarheten. Det er uendelige måter å snike inn en WMF-fil (den siste metoden benytter komprimering i tillegg til fragmentering, så en proxy/(N)IDS er nødt å sette sammen hele strømmen, eller sårbarheten kan komme på en kryptert side (ende-ende-kryptert)).

 

Mine brukere får leve uten faxviewer inntil MS får en patch ut døra, og jeg får håpe og tro at jeg holder hodet over vannet til da.

[[email protected]]

Om klient maskinene har oppdatert anti-virus så burde ikke dette være ett stort problem. Men det hadde vært greit om MS kom med en patch, for dette er muligens det mest seriøse sikkerhetsproblemet på flere år...

[tyldum]

AV løser ikke problemet, men *kan* redusere risikoen. Det er mange veier til Rom i dette tilfellet.

[vinterstum]

Ok, jeg takker for svarene. Mange sitter nok på gjerdet nå og venter på en offisiell patch mens de krysser fingrene og håper på at antivirusprogrammene er like gode som reklamen sa. For de av oss som ikke har tid til å manuelt sikre hver maskin tror jeg nesten det er bedre å lage et nytt image og reinstallere alt så snart patchen er ute.

[tyldum]

Jeg benytter Group Policy i samarbeid med WSUS og får da pushet patcher automagisk og med returstatus. Men er du så heldig at du ikke har noe brukerdata lokalt skader det jo ikke å benytte muligheten til å sende ut nytt image

[vinterstum]

Jeg benytter Group Policy i samarbeid med WSUS og får da pushet patcher automagisk og med returstatus. Men er du så heldig at du ikke har noe brukerdata lokalt skader det jo ikke å benytte muligheten til å sende ut nytt image

5382462[/snapback]

 

Har flere ganger hatt lyst til å sette meg inn i hvordan WSUS fungerer for å sette opp en slik tjeneste, kan du anbefale en god bok eller et nettsted?

[StianK]

Har flere ganger hatt lyst til å sette meg inn i hvordan WSUS fungerer for å sette opp en slik tjeneste, kan du anbefale en god bok eller et nettsted?

5385053[/snapback]

 

Allt du trenger av informasjon finner du på microsoft.com/wsus

 

Her er direktelink til det du er mest intressert i tenker jeg:

http://www.microsoft.com/windowsserversyst...fo/default.mspx

[wsp]

Tenkte bare å nevne at nå er det kommet en fix for dette:

http://www.microsoft.com/technet/security/...n/ms06-001.mspx

 

wsp

[[email protected]]

Ser man det!

[tyldum]

Jeg benytter Group Policy i samarbeid med WSUS og får da pushet patcher automagisk og med returstatus. Men er du så heldig at du ikke har noe brukerdata lokalt skader det jo ikke å benytte muligheten til å sende ut nytt image

5382462[/snapback]

 

Har flere ganger hatt lyst til å sette meg inn i hvordan WSUS fungerer for å sette opp en slik tjeneste, kan du anbefale en god bok eller et nettsted?

5385053[/snapback]

 

Whitepaperen til MS er grundig og god. Det er noen småting som må installeres, utover dette er det tut og kjør (og du må sette opp group policy for det).

 

WSUS er essensielt dersom du drifter flere Windowsmaskiner.