Intro('Provoz na internetu se od Φasn²ch rannφch hodin v sobotu 24. ledna citeln∞ zpomalil dφky novΘmu, rychle se Üφ°φcφmu Φervu, kter² mß za nßsledek nefunkΦnost mnoha internetov²ch server∙ a nedostupnost tisφce WWW strßnek.');
╚erv vyu₧φvß ji₧ delÜφ dobu znßmΘ bezpeΦnostnφ dφry v Microsoft SQL Serveru 2000, s nejv∞tÜφ pravd∞podobnostφ dv∞ r∙znΘ. Slabinu popsanou v <a href= ../www.microsoft.com/technet/security/bulletin/MS02-039.asp>MS Security Bulletinu MS02-039</a> vyu₧φvß k Denial of Service ·toku na cizφ servery a exploitovateln² buffer overflow <a href=../www.microsoft.com/technet/security/bulletin/MS02-039.asp>MS02-039</a> k instalaci svΘho k≤du na dalÜφ poΦφtaΦ.
</DIV></FONT></b></i>
<FONT Size=2><DIV Align=Justify Class=Paragraph>
P°itom probφhß p°enos velkΘho mno₧stvφ dat na UDP portu 1434, co₧ mß za nßsledek zmφn∞nΘ zpomalenφ. P°enos mnoha krßtk²ch UDP paket∙ (podle ohlas∙ 376-410 byt∙) z mnoha r∙zn²ch adres po celΘm internetu je tak vφcemΘn∞ jedoznaΦn² identifikßtor viru.
</DIV></FONT></b></i>
<FONT Size=2><DIV Align=Justify Class=Paragraph>
Dφky chyb∞ tak Φerv dokß₧e sv∙j k≤d spustit pod u₧ivatelem SYSTEM na danΘ stanici. Otßzka zneu₧itφ k jak²mkoliv jin²m hackersk²m ·Φel∙m je pochopiteln∞ na mφst∞, vΦetn∞ mo₧nosti zφskßnφ kompletnφho AdministrßtorskΘho p°φstupu.
</DIV></FONT></b></i>
<FONT Size=2><DIV Align=Justify Class=Paragraph>
┌sp∞ch, jak² tento virus slavφ, je a₧ k nevφ°e, nebo¥ zmφn∞nΘ vurnerability byly oznßmeny ji₧ v Φervenci minulΘho roku, patche jsou k dispozici a byly souΦßstmi n∞kolika opravn²ch balφΦk∙. Jen na okraj podot²kßm, ₧e informace se dostala i do hlavnφch zpravodajsk²ch relacφ n∞kter²ch televiznφch relacφ, co₧ se opravdu nepovede jen tak "n∞komu".
</DIV></FONT></b></i>
<FONT Size=2><DIV Align=Justify Class=Paragraph>
Administrßto°i, na jejich₧ stroji b∞₧φ MS SQL Server 2000 a dosud zßplaty neaplikovali, by tak m∞li ihned uΦinit. P°φsluÜnΘ odkazy jsou k dispozici na strßnce p°φsluÜnΘho Security Bulletinu:
Riziko nßkazy vaÜφ sφt∞ lze pochopiteln∞ snφ₧it takΘ r∙zn²mi filtry apod., nap°. blokovßnφm vÜech UDP datagram∙, kterΘ majφ zdrojov² i cφlov² port 1434.
</DIV></FONT></b></i>
<FONT Size=2><DIV Align=Justify Class=Paragraph>
Vedle SQL server∙ Φerv napadß i MSDE (Microsoft SQL 2000 Desktop Engine), jakousi odlehΦenou verzi SQL Serveru. Ta je nasazena nap°φklad v MS Office, Visual .NET Studiu Φi Microsoft AppCenter. Cφlem se tak mohou stßt i klientskΘ stanice.
</DIV></FONT></b></i>
<FONT Size=2><DIV Align=Justify Class=Paragraph>
Server <a href=../www.pooh.cz/default.htm>Pooh.cz</a> informuje o d∙sledcφch na ΦeckΘm internetu: "Probralo se czechia.com - by¥ to probrßnφ asi nenφ ·plnΘ. Co se ale stßlo v∙bec neprobralo, je reklamnφ systΘm Adrenaline (<a href=../www.adrenaline.cz/default.htm>www.adrenaline.cz</a>), dφky jeho₧ nefunkΦnost jsou do v∞Φn²ch loviÜ¥ odeslßny dalÜφ weby - iHNed kv∙li tomu musel kompletn∞ vypnout reklamu, Äiv∞ je dφky tomu nefunkΦnφ. (update: v zhruba 19:00 se adrenaline.cz koneΦn∞ rozjelo)</i>
</DIV></FONT></b></i>
<FONT Size=2><DIV Align=Justify Class=Paragraph>
Ji₧ zmφn∞nß firma eEye uvolnila scanner, kter² dokß₧e zjistit, zda je konkrΘtnφ instalace napadnutelnß.
Odbornφci p°irovnßvajφ ·tok tohoto viru k t∞m nejznßm∞jÜφm nßkazßm z let minul²ch. "Je op∞t to jako Code Red", °φkß Marc Maiffret, odbornφk ze spoleΦnosti eEye Digital Security, kde virus zaznamenali jako jedni z prvnφch. "Mno₧stvφ ·tok∙ zabφrß tolik provozu, ₧e se normßlnφ po₧adavky v∙bec nechytajφ.", dodßvß. Situace mimoto ukßzala, jak tragickß je skuteΦnß situace kolem aplikovßnφ patch∙ a to i t∞ch, kterΘ byly oznaΦeny jako "critical" a jsou na sv∞t∞ ji₧ p∙l roku. Jak se zdß, slovnφ spojenφ "remotely exploitable buffer overflow" nechßvß chladn²mi vφce lidφ, ne₧ je zdrßvo. Pokud jsme Microsoftu v Φervenci vyΦetli vzdßlen∞ zneu₧itelnΘ p°eteΦenφ bufferu musφme nynφ konstatovat, ₧e na Φasto nechvalnΘ bezpeΦnostnφ pov∞sti produkt∙ mß velk² podφl prßv∞ chovßnφ u₧ivatel∙-administrßtor∙.
</DIV></FONT></b></i>
<FONT Size=2><DIV Align=Justify Class=Paragraph>
Varovßnφ CERTu najdete <a href=../www.cert.org/advisories/CA-2003-04.html>zde</a>.
