Nowy Heartbleed, czyli niespodziewana druga twarz błędu MS15-034

Słynny błąd Heartbleed umożliwiający zdalne odczytywanie fragmentów pamięci serwerów WWW przez wiele miesięcy nie miał żadnej konkurencji. Wygląda jednak na to, ze sytuacja właśnie uległa zmianie.

Pewien badacz analizujący różne aspekty ogłoszonego kilka dni temu błędu w systemach Windows MS15-034 (umożliwiającego głównie wywołanie niebieskiego ekranu) odkrył, że odpowiednio manipulując wartościami żądania HTTP można otrzymać w odpowiedzi fragmenty pamięci serwera spoza zakresu, w którym znajduje się żądany plik.

Wiele zakresów w jednym nagłówku

W eksperymentach badaczowi udało się np. odczytać zawartość pliku otwartego przez innego użytkownika i znajdującego się w pamięci serwera. Efekt ten uzyskał wysyłając do serwera wiele zakresów danych w jednym nagłówku range header. W większości przypadków ten rodzaj ataku nie powodował zawieszenia serwera i efekt wycieku informacji był powtarzalny. Testowana konfiguracja to Windows 7 z serwerem IIS.

Wyciek pamięci

Jeśli ktoś jeszcze nie załatał swojego serwera to teraz ma ku temu świetną okazję. Trzeba przyznać, ze sytuacja MS15-034 bardzo ciekawie się rozwija.