Avis du CERT-FR

Description

• Microsoft Netmeeting est un outil de visio-conférence dont la composante Shared Desktop permet à la maintenance de prendre la main à distance sur une machine.

  Un utilisateur distant peut, en envoyant un certains type de paquets vers sa victime sur le port de communication de Netmeeting pendant que le logiciel fonctionne, faire monter la charge du processeur jusqu'au blocage du logiciel à la fin de son attaque.

  Il se peut que le gestionnaire des tâches de Windows, n'ai pas accès à la tâche en court, et qu'il faille un autre outils ne faisant pas partie intégrante du système, ou redémarrer la machine, pour arrêter l'effet de l'attaque.

• Hyper Terminal est un outil ressemblant à telnet installé sur les systèmes Windows 98, 98SE, ME, NT et 2000, et c'est le client répondant par défaut à l'URL telnet:// pour les systèmes Windows 98, 98SE et ME.

  Un utilisateur mal intentionné peut, à l'aide d'un lien telnet vers une URL malformée dissimulé par exemple dans une page web ou un mail, générer un dépassement de mémoire sur la machine qui lance le client telnet, et ainsi exécuter du code sur cette machine.

Contournement provisoire

Filtrer le port 1270 ou bloquer selon les besoins, avec un garde-barrière, afin d'éviter ce type d'attaque.

Supprimer Hyper Terminal, et utiliser telnet ou un équivalent pour se connecter à un serveur telnet.

Solution

Appliquer le correctif Microsoft :

• Pour Netmeeting pour Windows 2000 (il n'y a pas encore de correctif pour Windows NT4) :

  http://www.microsoft.com/Downloads/Release/Release.asp?ReleaseID=25029
  

• Pour Hyper Terminal pour Windows 98 et 98SE :

  http://download.microsoft.com/download/win98/Update/12395/W98/EN-US/274548USA8.EXE
  

• Hyper Terminal pour Windows ME :

  http://download.microsoft.com/download/winme/Update/12395/WinMe/EN-US/274548USAM.EXE
  

• Windows 2000 (Gold et SP1 compris) :

  http://www.microsoft.com/download/release.asp?releaseid=25112