
22 Luglio 2020
Su Windows Server è stata scoperta una falla di sicurezza nei servizi DNS che ha circa 17 anni: l'hanno scoperta i ricercatori di sicurezza di Check Point, e una patch correttiva è stata distribuita nelle scorse ore in occasione del Patch Tuesday. La falla è molto pericolosa, ma non riguarda noi utenti privati: solo Windows Server, appunto. Ma gli amministratori IT farebbero bene ad accertarsi di aggiornare quanto prima. In caso non sia possibile farlo per ragioni tecniche, Microsoft ha messo a disposizione anche una soluzione temporanea attraverso il registro di sistema.
La vulnerabilità, che secondo Microsoft non è mai stata sfruttata, è stata definita "wormable" e potrebbe compromettere la sicurezza di tutte le macchine collegate a un sistema Windows Server infetto - senza addentrarci troppo nei tecnicismi, una volta infettato un sistema Windows Server avrebbe le capacità di propagarsi su tutta la rete senza alcun tipo di interazione da parte dell'utente. Per questo le è stato assegnato il grado di rischio più elevato possibile, ovvero 10, sulla scala CVSS (Common Vulnerability Scoring System) - per fare un paragone, l'attacco ransomware WannaCry di un paio di anni fa era valutato 8,5.
Per chi fosse interessato ad approfondire le meccaniche di funzionamento della vulnerabilità, battezzata SigRed, è disponibile un'analisi dettagliata sul sito di Check Point. Tuttavia, su consiglio di Microsoft, alcune informazioni fondamentali sono ancora censurate, per rallentare lo sviluppo di malware e dare tempo ai responsabili di aggiornare tutti i sistemi interessati.
SigRed colpisce tutte le versioni di Windows Server dalla 2003 all'attuale 2019.
Commenti
Infatti accendi ubuntu e difficile che userai il terminale un utente medio sveglia ragazzi basta monopolio
linux e immuni al 99 oer cento windows lascia perdere.
si ne sono consapevole che siamo un'eccezione e sono anche contento, in fin dei conti il fondatore e' un nerd spinto, sempre stato vicino al mondo dell'hacking (con hacking non intendo violazione di sistemi informatici, ma proprio coding spinto), quindi poi l'azienda la plasmi come vuoi, windows di fatto non esiste, il server locale e' linux, il dns e' linux, i client tutti linux, tranne chi si e' voluto comprare un mac (e comuqnue solo un dev ha un mac).
windows non lo usano nemmeno quelli dell'assistenza, anche loro hanno tutti ubuntu, in fin dei conti non serve chissa' quanto per adattarsi ad un nuovo sistema
Onestamente penso che anche per quanto riguarda lo user account control e Ia necessità dei privilegi di administrator, si siano fatti grandissimi passi in avanti. Il problema da questo punto di vista ormai sono quegli sviluppatori che non si vogliono adeguare o quelle applicazioni che non hanno più sviluppo.
Mi riesce difficile ormai immaginare una rete client completamente Linux, dove non mi risulta si possa avere una governabilità centralizzata al pari di AD e GPO. Le GPO permettono non solo di governare i sistemi operativi, ma anche applicativi come browsers, Office e altri.
Vogliamo parlare di Microsoft 365 e l'integrazione con Windows? Questi dicono che Windows non è sicuro ma un Rights Management come quello di Office che a tutti gli effetti fa DLP, manco sanno cos'è. Non parliamo poi delle integrazioni con Windows per le appliance di sicurezza perimetrale UTM e funzionalità SSO.
Non sanno nemmeno cosa stanno dicendo.
PS: MS ha sviluppato SQL per Linux, non so se fa ciò che fa su Windows, ma c'è.
Ci sono solo 2 soluzioni:
- O tutti usano Linux per i loro PC desktop
- O Windows Server continuerà ad essere il server principale
La gestione degli accounts Windows come anche SQL Server (ormai ogni programma aziendale si basa su questo database) li gestisce Windows Server.
Eppure, se non sei in grado di capire a che serve un SQL Server, difficilmente puoi capirlo.
MS ha deposto le armi su una buona parte, perché non arrivava a competere con tutti i progetti open source e ha fatto bene. Un server per le pagine internet ormai é Linux. Come anche tutti i dispositivi IoT. Le ha deposte anche per via della sicurezza... Non puoi avere un computer sicuro e allo stesso tempo permettere dei programmi che ti distruggono tutto il sistema, perché in Windows ognuno vuole essere "su".
Ma grazie all'integrazione con Azure, ha ormai il monopolio per quanto riguarda l'ambiente Windows sui Desktop.
Sarebbe ora di capirlo (e mi riferisco a Sempiternal)
Faccio il consulente informatico dal 2003, amo Linux ed hai pienamente ragione. La percentuale di reti aziendali senza Windows è quasi inesistente, alla meglio trascurabile. Perfino clienti IBMi hanno la parte x86.
Queste sono discussioni che purtroppo vanno avanti da decenni e c'è ancora gente integralista open source che va ancora dicendo che Windows non è stabile e non è sicuro. Le vulnerabilità software ed Hardware ci sono dappertutto, hanno colpito anche Intel. Le guerre tra SO sono finite da un pezzo, perfino la stessa MS ha deposto le armi, fatevene una ragione.
Che cul0! Non dobbiamo aggiornare il nostro server :D
Probabilmente non aveva ancora un DNS...
Anche io lo credevo a 10 anni. Poi, ti accorgi che solo chi non ha la minima idea di cosa significa Sistema Operativo può pensarlo.
Tu confondi Server per pagine web con Server aziendali. Ma é un errore che fanno tutti i 12enni, non devi prendertela ;)
Infatti loro possono inserire una chiave di registro come workaround e funziona senza dover installare niente.
e dimmi, come fai girare un terminal server per i collegamenti da fuori? come fai girare un database sqlserver? il dominio?
Guarda che un sistema serio comprende macchine di diversi SO, per alcune cose si usa linux, per altri Win, il problema è essere chiusi nelle proprie idee, e pensare di poter dare una macchina linux a tutti gli utenti, dove c'è gente che non sa nemmeno cosa sia un PC.
Ma smettila, che Microsoft stessa per le cose che contano, tipo Azure, utilizza server Linux!
facciamo circa lo stesso lavoro, e di tutti i clienti qualcosa con Win lo ho sempre visto, dato che molti programmi sono presenti (o ottimizzati) solo per Win.
siete l'eccezione, la regola è avere dei server windows, tipicamente per i domain controller e dns interni. Poi qualche appserver sicuramente ci scappa. Sono un consulente informatico anche io, quello che dice The_th è corretto.
tu che immagino sei un system administrator, cosa usi in azienda come server? Come gestisci le connessioni da fuori degli utenti? I pc Win stanno fuori dominio o hai installato i servizi di dominio win su linux?
la cosa ridicola è il tuo commento, sei mai stato in una azienda?
Penso siate tra i pochi, perchè solo per la contabilità spesso serve un win, anche solo per il fatto che la persona media non sa usare altro che win (e già è in difficoltà con quello)
Pensavo scrivessi chiosando (si meritano Windows).
A leggerti sembra che il timore dei system amministratore nell'aggiornare non abbia fondamento....
Windows affiancato alla parola server, fa già ridere così
siamo una software house con sede principale in italia e altre sedi in diversi altri stati.
windows non ci serve, quasi tutti con linux e pochi con mac.
aziende ne ho viste tante, anche molto grandi e tutte qualche macchina win la hanno. Se hai client windows usi il server windows per metterli a dominio ad esempio.
Non so che azienda siete e quante persone siete, ma non so come fate ad andare avanti senza una macchina win, molti applicativi dell'agenzia delle entrate funzionano solo su win per dire, come lavora la contabilità? Per non parlare dei gestionali, sono pochi quelli realmente al 100% multipiattaforma.
in azienda da me non esistono macchine windows (nemmeno un portatile dimenticato in un armadio) :D
se poi conosci 4 aziende e' un altro discorso (non sto dicendo che la maggior parte non usano windows, e' chiaro che e' cosi', dico solo che se te ne esci con "non conosco azienda al mondo che non abbia almeno qualche macchina windows" allora e' un tuo problema che evidentemente conosci poche aziende).
e comunque dove e' il nesso tra client windows e necessariamente server windows?
chiaro dipende anche da cosa ci deve girare, mi chiedevo solamente perche' uno dovrebbe scegliere windows su un server
Immagino tu sia il più grande sistemista al mondo per poter affermare questa cosa, sicuramente sai cosa vuol dire aggiornare centinaia di Nodi di rete, con annessi software durante la produzione, io penso che se ti metto dentro una Server farm l'unico che vinee visto come un Cogl1ion3b sei proprio tu!
perchè tutto il mondo aziendale gira su Windows ad esempio?
Non conosco azienda al mondo che non abbia almeno qualche macchina windows in azienda, e se hai client Win una macchina server la devi avere da qualche parte.
Basta applicare la chiave di registro. E un IT serio lo fa, certo gli idioti ci sono sempre, ma se uno ha un minimo di cervello le patch le applica, anche se a volte è difficile farlo puntualmente, un blocco di determinati servizi vuol dire blocco dell'azienda completo, e quindi sono cose che vanno ragionate. Anche un semplice riavvio di alcune macchine è difficile in ambienti che sono operativi h24 7/7
su questo concordo, c'è sempre un qualche servizio che ti obbliga a tenere una vecchia versione del SO.
Però in questo caso stiamo parlando del DNS, che spesso corrisponde anche al controller di dominio. Ecco diciamo che non lo terrei su Windows server 2003, già il 2008R2 è vecchio, ma il 2003 proprio no.
perche' usare windows server?
La cosa più ridicola è che utilizzino Windows come server.
Se la prende quell'IT che non vuole rischiare di perdere il posto se va qualcosa male, perché poi prova a spiegarlo a chi sta sopra (che nella maggior parte dei casi è già tanto che sa usare un client di posta) che era necessario fare l'upgrade perché i rischi erano maggiori.
La teoria è bella, ma in pratica un sacco di grande aziende hanno fatto l'upgrade da Windows XP solo nel 2014, dopo 12 anni... e solo perché davvero non si poteva andare avanti.
Molte continuano ad usare Internet Explorer con ActiveX attivo, è anche quello è un sacco vulnerabile, però FUNZIONA, quindi non viene visto dai vertici come costo giustificabile riscrivere un applicativo per farlo girare con le tecnologie di oggi.
Lo stesso vale per i server.
I controlli più importanti si fanno in input non in output
Si, spesso i problemi sono proprio nelle librerie che usi, ma non c'è mai nulla di realmente "complesso" se ti ricordi di fare i controlli ad ogni livello per ogni parte pubblica. Infatti è lì da 17 anni, segno che c'è altro che non dicono per evitare lo sfruttamento della vulnerabilità.
Qui tra l'altro ci sono anche parti che devono essere super veloci nella loro esecuzione, parliamo di codice che girava su pc davvero vecchi e poco potenti rispetto ad oggi.
Consiglio a tutti di guardarsi i video e gli esempi in cui si sfruttano e spiegano falle di questo tipo, si impara un sacco e si diventa molto più consapevoli del problema.
Niente pressapochismo comunque, quello lo lascio ad altri.
Windows Server 2003 non è a 64 bit.
Ecco perché.
Se questa vulnerabilità non è stata scoperta per 17 anni forse sarà un po' più complicata di come la fai? Hai idea di quante persone e automatismi testano i sorgenti e di quante i compilati blackbox? Le validazioni degli input possono essere molto complesse e tutt'altro che evidenti, soprattutto in scenari networking. E a volte le vulnerabilità sono nelle librerie stesse di validazione...
Quindi c'è poco da fare i pressappochisti, perché se è vero che anche software house grosse fanno errori grossolani, Microsoft negli ultimi 10 anni ha fatto passi da gigante in termini di Secure Development Life Cycle.
Prevedo delle class action all'orizzonte
Purtroppo ci sono degli ambiti dove troppi controlli rallentano i sistemi. Pensa che è qualcosa che arriva da inizi 2000,quando la potenza di calcolo era molto più limitata,e anche oggi un DNS deve essere il più veloce possibile,e ogni controllo aggiuntivo rallenta i sistemi.
Sicuramente è un grosso problema,ma affonda le sue radici sul fatto che non possiamo attendere troppo le risposte dal DNS
E chi si prende la responsabilità di tenere un sistema non aggiornato e vulnerabile? Siamo alle solite,ad un certo punto va aggiornato,sennò saremmo ancora a win 3.1
Da una parte è comprensibile... se funziona perché cambiarlo?
Chi si prende la responsabilità di migrare tutto su una versione più recente?
Soprattutto nelle grosse aziende, e spesso va a finire che dopo il passaggio a Server 2013 le cose funzionano pure peggio.
Infatti in un caso come questo la Microsoft dovrebbe rilasciare una patch per tutte le versioni affette.
Il supporto alla versione Server (così come Embedded) dovrebbe essere a vita (anche solo sotto forma di abbonamento a pagamento).
Inutile, ma un bel giorno
Quindi Windows 2000 server non ne è affetto, vero?
Povera Italia...
Useranno il workaround del registro di configurazione di sistema!
Lui è convinto che Linux e Mac siano immuni.
*Il giorno in cui Windows avrà una coerenza grafica e nelle applicazioni sarà un bel giorno
Eccoci!!! Con collegati pc Windows xp!!
Io mi stupisco sempre di questo tipo di errori, perchè spesso sono falle per modo di dire.
Se la funzione accetta un parametro dall'esterno e poi non lo controlla a dovere, è solo questione di tempo prima che qualcuno riesca a sfruttarlo e dobbiamo solo sperare che quel qualcuno lo comunichi al mondo intero il prima possibile.
Fare controlli e sanificare gli input dovrebbe essere la prima attività in ogni routine che comunica con l'esterno, ma vedo che sempre più spesso ci si "dimentica" anche di fare le verifiche più elementari (tipo oggetto diverso da null...)
Uso Windows ME e vado liscio come l'olio, virus inesistenti e falle sconosciute.
Guarda che ancora non l'hanno creato un sistema operativo totalmente immune da ogni vulnerabilità...
Il collega è entrato nel panico, crede che potrebbe perdere tutto il contenuto del computer, ma l'ho rassicurato: le chat di Facebook e i giochi di Miniclip sono accessibili ovunque
Il giorno che ci libereremo di Windows sarà un bel giorno.