My tu Gadu-Gadu, a tu... 7 dziur!

W najpopularniejszym polskim komunikatorze internetowym - Gadu-Gadu - wykryto 7 poważnych błędów, które mogą posłużyć do wykradania plików z dysków użytkowników aplikacji, zdalnego 'zawieszania' programu czy nawet uruchamiania na zaatakowanym komputerze dowolnych programów. 'Dziury' w Gadu-Gadu wykryli dwaj pracownicy Poznańskiego Centrum Superkomputerowo Sieciowego - Błażej Miga i Jarosław Sajko, którzy zaoferowali już autorom GG pomoc w usunięciu 'dziur'. "Błędy nie są aż tak istotne i jak do tej pory nie zanotowaliśmy żadnego przypadku wykorzystania ich do przeprowadzenia ataku na komputer. Niemniej jednak w najbliższych dniach udostępnimy nową, poprawioną wersję GG" - powiedział nam Łukasz Fołtyn, autor komunikatora. Udało nam się również porozmawiać z Błażejem Migą, jednym z odkrywców błędów.
Informacja o błędzie została opublikowana na liście BuqTraq - pełną treść wiadomości znaleźć można tutaj.

Błażej Miga i Jarosław Sajko szczegółowo opisali 7 istotnych błędów w zabezpieczeniach komunikatora - umożliwiają one zdalnym 'napastnikom' m.in. wywołanie błędu przepełnienia bufora (a w konsekwencji - uruchomienie na zaatakowanej maszynie dowolnego kodu, np. trojana), wykradzenie listy kontaktów, zdalne uzyskanie dostępu do zapisanych na dysku plików, czy 'zawieszanie' programu. Co ważne - jak podkreślają odkrywcy błędów, wszystkie błędy występują przy standardowych ustawienia komunikatora.

7 błędów, wszystkie groźne

Pierwsza 'dziura' związana jest z błędem występującym podczas analizy kodu zawierającego odnośniki 'http:' i 'news:' (czyli np. wiadomości zawierających łącza) - umożliwia ona umieszczenie w wiadomości 'złośliwego' kodu, który zostanie uruchomiony w strefie lokalnej (bez dodatkowych zabezpieczeń).

Drugi błąd związany jest z obsługą serwerów proxy (umożliwia on zdalne uruchomienie kodu na zaatakowanej maszynie).

Trzecia luka w zabezpieczeniach dotyczy obsługi połączeń dcc (bezpośrednich) - ona z kolei pozwala nieautoryzowanemu użytkownikowi na pobranie dowolnego pliku z folderu _cache (bez wiedzy użytkownika). Dodatkowo, komunikator jest podatny na błąd "directory traversal", który umożliwia wymuszenie przejścia do innego katalogu - np. do folderu, w którym przechowywane jest plik z hasłem do serwera GG.

Czwarty błąd polega na tym, że podczas przesyłania pliku graficznego o odpowiednio spreparowanej nazwie możliwe jest wywołanie błędu przepełnienia bufora. Odpowiednie wykorzystanie tej 'dziury' może spowodować wykonanie złośliwego kodu.

Kolejna - piąta - 'dziura' jest ściśle związana z błędem numer 4 - nawet jeśli użytkownik zablokował opcję odbierania i przesyłania obrazków, to i tak możliwe jest wysłanie mu grafiki o odpowiednio małym rozmiarze (poniżej 100 bajtów). Użytkownik nie ma więc możliwości zabezpieczenia się przed błędem czwartym.

Szósty błąd również dotyczy obsługi grafik - polega na tym, że przesyłane do użytkownika obrazki mogą być dzielone na pakiety, natomiast kod składający te pakiety posiada pętlę, która w przypadku niezgodności długości odebranych i oczekiwanych pakietów, nie jest prawidłowo kończona i powoduje błąd przepełnienia sterty. Błąd jest o tyle prosty do wykorzystania, że napastnik może dowolnie modyfikować dane o objętości pakietów.

Ostatnia, siódma 'dziura', jest podobna do szóstej - chodzi tu o możliwość wystąpienia przepełnienia zakresu 'integer', które może być spowodowane przez kod odpowiedzialny za odbieranie plików przez połączenie bezpośrednie. Także tu długość pobieranego pliku jest przejmowana z pakietu wysłanego przez użytkownika - następnie plik jest zapisywany blok po bloku i jeżeli długość pliku została 'złośliwie' zmodyfikowana przez wysyłającego, może to doprowadzić do zapełnienia przestrzeni dyskowej, lub zapisania danych z nieznanej części pamięci.

Co ważne, Błażej Miga i Jarosław Sajko zaznaczają, że nie ma w tej chwili prostego sposobu zabezpieczenia się przed błędami - użytkownicy mogą jednak zminimalizować ryzyko, wyłączając obsługę Proxy i połączeń bezpośrednich, a także unikając odbierania wiadomości od nieznajomych użytkowników.

SMS Express: Błędy są, ale niegroźne

"O błędach już wiemy, choć przyznam, że nie dotarła do nas wiadomość od odkrywców błędów" - powiedział nam Łukasz Fołtyn z firmy SMS Express, autor Gadu-Gadu. "Nie sądzę jednak, żeby dziury te były aż tak groźne, jak opisują to ich odkrywcy. Niemniej jednak zamierzamy w ciągu najbliższego tygodnia udostępnić nową wersję komunikatora, która będzie wolna od błędów. Chciałbym też uspokoić użytkowników - błędy mogą zostać wykorzystane przeciwko nam jedynie przez osoby, które mamy na liście kontaktów, a przecież trudno sobie wyobrazić, by atakowali nas nasi znajomi. Co więcej, mimo, iż błędy te najprawdopodobniej występowały również we wcześniejszych wersjach GG, to jak do tej pory nie zanotowaliśmy żadnego przypadku wykorzystania ich do przeprowadzenia ataku na komputer" - uspokaja Łukasz Fołtyn.

Na nasze pytania odpowiada Błażej Miga z Poznańskiego Centrum Superkomputerowo Sieciowego
W opublikowanym na BuqTraq opisie wspominają Panowie o tym, że pracowaliście nad konceptem exploita wykorzystującego błędy w GG - czy taki exploit ostatecznie powstał?

Błażej Miga: Wszystkie wykazane przez nas błędy zostały sprawdzone. Posiadamy działające kody dla każdego z błędów, które go wykorzystują do przejęcia kontroli nad komputerem czy tez kradzieży informacji. Testowaliśmy ja na rożnych wersja klienta GG oraz systemu Windows (Windows 2000/ xp/sp1/sp2).

Kiedy poinformowano o błędach firmę SMS Express? Czy był jakiś odzew w tej sprawie?

Firma SMS Express została poinformowana wczoraj przed wysłaniem informacji na BuqTraq. Informacja przesłana na BugTraq nie posiada szczegółów błędów (działających exploitów) z względu na bezpieczeństwo użytkowników GG. Nie chcemy dostarczać narzędzi do włamywania na komputery, lecz ostrzec użytkowników o zagrożeniu, które jest bardzo wysokie.

Przesłaliśmy jej szczegółowe opisy błędów, wraz z przykładami w jaki sposób wykorzystać błędy. Firmie SMS Express zaoferowaliśmy pomoc w zalataniu błędów. Nie otrzymaliśmy jeszcze odpowiedzi.

Czy wykrywanie błędów w oprogramowaniu to Panów zawód, czy raczej hobby?

Jedno i drugie ;) Jesteśmy pracownika Zespołu Bezpieczeństwa PCSS (Poznańskiego Centrum Superkomputerowo Sieciowego). W wolnych chwila zajmujemy szukaniem błędów w programach komputerowych.


Warto przypomnieć, że nie są to pierwsze, poważne błędy w najpopularniejszym polskim komunikatorze (korzysta z niego ponad 3 mln uzytkowników miesięcznie) - kilka miesięcy temu informowaliśmy o innej, groźnej luce w GG (w tekście "Dziura w Gadu-Gadu").
Aktualizacja: 15 grudnia 2004 08:28
Zgodnie z zapowiedziami, firma SMS Express udostępniła użytkownikom nową, poprawioną wersję Gadu-Gadu - 6.1 build 155. Jak powiedział nam Łukasz Fołtyn z SMS Express, nowa edycja jest wolna od wszystkich wykrytych i opisanych przez Błażeja Migę i Jarosława Sajko błędów (zawiera ona również kilka innych nowości - m.in. filtr antyspamowy). Nową wersję można już pobrać z naszego serwisu FTP.
Ocena:
Twoja ocena:

Komentarze (36)

lukasz

04-10-2007 17:38

ja używam linuksa a na nim uruchamiam kadu i działa

XES

27-09-2005 22:31

wychaczylem 50+ kont gg (na wersji gg 7.o) .. wyslalem plik do obslugi technicznej nr + hasla .. w odpowiedzsi ladnie "olali" sprawe .. n/c .. idzcie uzywac mirandy :)

flashbak

06-03-2005 16:02

trza bedzie nowe dziury znalezc teraz... a tak fajnie bylo =]

harrier

27-12-2004 19:31

Człowiek sie namęczy, napisze kominukator, pruje sie jak koronka, żeby miał pod komin róznych dziur co by możnabyło przegladać pliki userów, a tu przyjdzie jeden z drugim i ujawnia całą sprawe... :-)

mr

26-12-2004 22:14

Na szczęście już dawno przeszedłem na WPKontakt... to jak przesiadka z Trabanta na BMW :))) Polecam wszystkim.

Bohusz

18-12-2004 20:44

Panowie Błażej Miga i Jarosław Sajko mają rację. Po wejściu na GG w zeszłym miesiącu pozbyłem się pewnych plików.Od tego czasu unikam GG.

Master

17-12-2004 22:53

http://webgg.pl - WebGG http://webtlen.pl - WebTlen

krupski

17-12-2004 18:56

Ja uzywam gg na windzie, ale na linuxie mam kadu i jestem z niego bardzo zadowolony, kadu i pingwin rlz :D

DeHa

17-12-2004 16:04

Chcesz mieć bezpieczny komputer i używasz Gadu-gadu, bazowanego na IE? Może samego IE też używasz? Zaprzeczasz sam sobie...

wojtal

16-12-2004 18:02

Ja wolę mieć bezpieczzny komputer i zostało mi tylko czekać na poprawkę. :|

sbv

15-12-2004 23:22

Wróciłem do wersji 6.0 Ps.Czekam na poprawienie wersji 6.1

sbv

15-12-2004 23:18

Po zainstalowaniu aktualizacji: 1. GG jest szersz :( 2. Nie ma na dole okna pola z sms :( System Windows 2000 Sp4.

DeHa

15-12-2004 14:58

Jest wiele alternatyw duuuużo lepszych od dziadu-dziadu i jeśli komuś się to ine podoba, nie musi z niego korzystać. Jak już wspomniałem protokół ten długo nie pożyje, więc teoretycznie kto wcześniej się przesiądzie ten więcej zyska.

Ja

15-12-2004 12:31

ale mi news

popdruid

15-12-2004 09:55

Ja widzę alternatywę dla "wyłączać wszystko". Można po prostu nie używać GG :-))...

Autor

15-12-2004 08:14

Marooned - faktycznie, fragment tekstu wymagał doprecyzowania. Dziekuję za zwrócenie uwagi i uważną lekturę. pozdrawiam, Autor

Marooned

15-12-2004 01:24

"a my, ludzie inteligentni (no offence) dalej kożystajmy..." a my, ludzie inteligentni (no offence) dalej używajmy słowników... "sie nie dziwie ze luserstwo urzywa gg" może i tak, ale pozostali używają gg Na Win2k nie ma żadnych problemów. Jak mawia Bill "to musi być wina użytkownika" :] A co do artykułu... tłumacz coś cienko radzi sobie ze zrozumieniem tekstu. W oryginale nic nie ma o tym, że w katalogu _cache jest hasło do serwera GG. Tam są tylko przesłane obrazki :]

Jan Niezbędny

15-12-2004 01:01

To jest poprostu karygodne :))

Basta

15-12-2004 00:34

Wcale nie ..... g***o prawda że GG wywala W2K, używam od zawsze GG pod W2k+SP4+wszystkie poprawki z M$ i żadnych problemów z nim nie mam ... Może XP-ka (zwłaszcza pirata) wywala ale XP i tak jest z****ny ... jak musisz korzystać z M$-yfu to wrzuć sobie Win2k Prof ...........

KXXXIII

15-12-2004 00:30

Wniosek nasuwa się jeden ... skoro "inteligentni" ludzie mają problem z językiem polskim to nie trudno sobie wyobrazić co mogą napsuć "pisząc inteligentne programy" ... Ludzieeeeeeeeee nie wstyd wam robic takie błędy na publicznych forach ?!?!?!?!?!?!?!?!!?!? I nawet jeden z drugim się nie pofatyguje żeby w słowniku sprawdzić ...... A co do GG ... to tak jak z Netscape ... był pierwszy, nawyki robią swoje ... Tlen może i dobry ale i tak się wraca do GG ..........

Crazy

15-12-2004 00:27

ja akurat sie nie dziwie ze luserstwo urzywa gg zamiast czegos porzadnego (miranda, tlen, jabber + pluginy) gg jest ladne, kolorowe i proste w obsludze ale niestety rowniez nie do konca przemyslane oprocz taaaakich dziur jak opisane mozna sie jeszcze przyczepic do klopotow z wywalaniem sie gg pod win2000 i XP na ktore jedyna odpowiedzia firmy bylo "prosze zainstalowac WSZYSTKIE uaktualnienia do systemu" (podkr moje - jakby nie mozna bylo sprawdzic jaka konkretnie poprawka umozliwia dzialanie gg) oraz wykozystanie lacza i zasobow komputera (gg potrafi zezrec na niewiadomo co od 30 do 50mb pamieci - tyle samo co miranda z 5 wtyczkami, w tajemniczych okolicznosciach rowniez transfery z internetu potrafia podskoczyc po wylaczeniu gadziny)

brovar

15-12-2004 00:17

Taaa... GG zawsze sprawiało kłopoty... a to wirusy, a to luki... a to serwer padał na całe dnie... A tlenik stoi jak ma stać i rulezuje :) Mimo to, użyszkodników GG jest za dużo żeby GG umarło... I dobrze, niech nie umiera, a my, ludzie inteligentni (no offence) dalej kożystajmy z GG spod TLEN'a!! o2 rox

pao

15-12-2004 00:03

to jest wogule smieszne bo sma widzialem jak mozna przez gg wlamac sie do kompa i hakerzy to wiedza od dawna i wykorzystuja intensywnie o sposobach mozna sie dowiedziec na stronach dla hakerow moim zdaniem gg to lipa niech zyje tlen

heh

14-12-2004 23:28

ta firma jest śmieszna, skoro bagatelizuje takie luki :/

marjan

14-12-2004 21:37

hubert japa!

huboo

14-12-2004 21:29

tlen najlepszy!!!!

DeHa

14-12-2004 18:41

Taxi Driver: jesli mistrzem swiata nazywasz biedna dziecko zagubione we mgle, stojace na nozkach tylko dlatego, ze nikt go jeszcze eni kopnal to wspolczuje Ci serdecznie Wąsu: nie mogę na niego patrzeć, bo nei mieszkam w tych rejonach. I co z tego, że jest nowa werja, skoro to i tak jest na wymarciu? Niewolnicy - otwórzcie oczy! Nie każda prawda boli...

Wąsu

14-12-2004 18:17

DeHa: spójrz na twórce GG, wyszła nowa wersja - poprawiona, bez tych dziur ! komentarz edytowany przez moderatora

SiLenT

14-12-2004 17:46

Czekam z utesknieniem na wtyczke do tlena ktora wysadzi serwer gg na marsa... Tlen/Jabber

Taxi Driver

14-12-2004 16:36

Jak na razie GG mistrz Świata i paru nawiedzonych nie zmieni tego wyniku

monitorus

14-12-2004 14:39

no tak kto używa gg to się zdziwi!!!!!!!!!! a tak pozatym nie ma rzeczy doskonałych

DeHa

14-12-2004 14:36

Wąsu: bo ten pod każdym względem jest najgorszy :) To nie jest czepianie się: znajdź podobne błędy PSI, JAJCu, Ekg2, Mirandzie. Jeśli nawet wystąpią to ludzie odpowiedzialni za nie szybko odpowiednie dziury załatają, ponieważ są to wolne programy i można je w każdej chwili dowolnie modyfikować. GG długo nie pożyje - nie macie się co martwić!

Wąsu

14-12-2004 14:09

I po co to komu ? Po co sprawdzacie te komunikatory ? Jak już tak sprawdzacie to sprawdźcie inne a nie tylko do jednego się przyczepili i bzdury odnajdują :/

art

14-12-2004 14:08

swietny tytul :) osobiscie uzywam tlena i mam spokoj,

DeHa

14-12-2004 14:06

Nie do dziś wiadomo, że gadu-padu nie nadaje się do nieczego innego, jak zasmiecania komputera. Ludzie: nie bądźcie niewolnikami! Macie przecież wybór, a pozostajecie przy najgorszej możliwej opcji! jabber komentarz edytowany przez moderatora

m

14-12-2004 13:53

Dlatego uzywam Jabbera. Wiem, ze mam wybor.

Polecane

Kariera w IT 2012

Kariera w IT 2012
Uczelnie, rynek pracy, rekrutacja, pracodawcy, rozwój zawodowy - czyli wszystko, co chcielibyście wiedzieć o pracy specjalistów IT w Polsce. Piszemy jakie uczelnie wybrać, dlaczego warto studiować informatykę i kierunki techniczne, jak wygląda proces rekrutacji i jak dobrze wypaść przed pracodawcą, opisujemy pracodawców - firmy IT - i możliwe ścieżki kariery.

Pobierz bezpłatnego e-booka

20 lat polskiej sieci
Ebook 20 lat polskiej sieci to kompletna charakterystyka polskiego internetu (oraz polskiego internauty). Odpowiadamy na pytanie, jak wygląda nasz kraj na tle bliższych i dalszych europejskich sąsiadów pod względem popularyzacji szerokopasmowych łączy internetowych i rynku mobilnego. Wymieniamy również wady i zalety korzystania z bezpłatnych punktów dostępowych.
Jeśli chcesz otrzymać darmowego e-booka, wpisz swój adres e-mail. Wyślemy Ci go natychmiast!
Wyrażam zgodę na wykorzystywanie mojego adresu email do celów marketingowych. rozwiń »