Уязвимость Cve-2015-1635 (Ms15-034) Эксплуатируется В Открытом Доступе.

На этой неделе мы написал о критическом обновлении MS15-034 для драйвера http.sys на Windows 7+ (включая Windows 10 TP).

Злоумышленник, использующий специально созданный заголовок запроса протокола HTTP, может удаленно выполнить код, организовать DoS-атаку или привести к сбою системы в BSOD как в клиентской, так и в серверной версиях Windows. Сам драйвер http.sys загружается Windows на самых ранних этапах и отвечает за реализацию логики протокола HTTP (реализует прикладной уровень модели OSI в Windows).

Уязвимость CVE-2015-1635 (MS15-034) эксплуатируется в открытом доступе.


Эта уязвимость напрямую относится к серверным редакциям Windows, поскольку IIS, отвечающий за механизмы реализации веб-сервера, использует этот драйвер для открытия и обслуживания HTTP-портов для входящих соединений, что может быть использовано для компрометации системы.

Однако в некоторых современных клиентских выпусках Windows (в зависимости от конфигурации системы и ее служб) запущенные службы также могут открывать порты HTTP для прослушивания входящих соединений.

Уязвимость CVE-2015-1635 (MS15-034) эксплуатируется в открытом доступе.


Сама операция( целочисленное переполнение ) можно, указав специальное значение для поля Range HTTP-заголовка (значение регламентируется RFC 2616, 14.35.1).

Ниже пример такой запрос.

ПОЛУЧИТЬ/HTTP/1.1 Хост: MS15034 Диапазон: байты = 0–18446744073709551615.

Этот запрос также можно использовать для проверки системы на наличие уязвимостей.

Уязвимость CVE-2015-1635 (MS15-034) эксплуатируется в открытом доступе.


Рис.

Предложение на подпольном форуме о продаже эксплоита для MS15-034.

Обновлять: Мы видим активные эксплойты, атакующие наши ловушки с адреса 78.186.123.180. .
Мы перейдем к Infocon Yellow, поскольку в этих сканированиях используется версия DoS, а не версия «обнаружения» эксплойта.
Сканирование выглядит как «Интернет».

isc.sans.edu Одна из обнаруженных версий эксплойта ITW выглядела так:

GET /%7Bwelcome.png HTTP/1.1 Пользовательский агент: Wget/1.13.4 (linux-gnu) Принимать: */* Хост: [ip-сервера] Соединение: Поддержание активности Диапазон: байт=18-18446744073709551615.

Теги: #MS15-034 #уязвимость #киберпреступность #информационная безопасность