home *** CD-ROM | disk | FTP | other *** search
/ Hackers Handbook - Millenium Edition / Hackers Handbook.iso / library / hack99 / exchange_ldap.txt < prev    next >
Encoding:
Internet Message Format  |  1999-03-24  |  10.9 KB
  1. Date: Mon, 15 Mar 1999 21:55:24 -0500 (EST)
  2. From: X-Force <xforce@iss.net>
  3. To: alert@iss.net
  4. Cc: X-Force <xforce@iss.net>
  5. Subject: ISSalert: ISS Security Advisory: LDAP Buffer overflow against Microsoft Directory Services
  6.  
  7. TO UNSUBSCRIBE: email "unsubscribe alert" in the body of your message to
  8. majordomo@iss.net  Contact alert-owner@iss.net for help with any problems!
  9. ---------------------------------------------------------------------------
  10.  
  11.  
  12. -----BEGIN PGP SIGNED MESSAGE-----
  13.  
  14. ISS Security Advisory
  15. March 15, 1999
  16.  
  17. LDAP Buffer overflow against Microsoft Directory Services
  18.  
  19. Synopsis:
  20.  
  21. ISS X-Force has discovered a buffer overflow exploit against Microsoft
  22. Exchange's LDAP (Lightweight Directory Access Protocol) server which
  23. allows read access to the Exchange server directory by using an LDAP
  24. client.  This buffer overflow consists of a malformed bind request that
  25. overflows the buffer and can execute arbitrary code. This attack can also
  26. cause the Exchange LDAP service to crash. This vulnerability exists in
  27. Microsoft Exchange Server version 5.5.
  28.  
  29. Description:
  30.  
  31. This exploit occurs during the LDAP binding process. Binding involves 
  32. logging in or authenticating to a directory, and consists of sending a 
  33. username, a password, and a binding method. There are two methods in
  34. which to use this vulnerablility against an Exchange server. The first
  35. consists of sending a particular type of invalid LDAP bind packet which
  36. will cause an overflow to occur this will cause the LDAP service to crash.
  37. The second uses a large malformed LDAP bind packet that is carefully
  38. crafted to take advantage of the buffer overflow and can be used to
  39. execute arbitrary code.
  40.  
  41. Recommendations:
  42.  
  43. Microsoft has made a patch available for the LDAP attack.  Patch 
  44. information is available at:
  45. http://www.microsoft.com/security/bulletins/ms99-009.asp
  46.  
  47. Network administrators can protect internal systems from external attack
  48. by adding a rule to a filtering router or firewall of the type: Deny all
  49. incoming TCP packets with a destination port of 389.
  50.  
  51. Many firewalls or packet filters may already have more restrictive 
  52. rulesets that already encompass this filtering rule, in which case the 
  53. network is already protected from an external attack.  This ruleset would
  54. include filtering all incoming traffic to TCP port 389.
  55.  
  56. Additional Information:
  57.  
  58. These vulnerabilities were primarily researched by the ISS X-Force.
  59.  
  60. ________
  61.  
  62. Copyright (c) 1999 by Internet Security Systems, Inc.  
  63.  
  64. Permission is hereby granted for the electronic redistribution of this
  65. Security Advisory.  It is not to be edited in any way without express
  66. consent of the X-Force.  If you wish to reprint the whole or any part of
  67. this Security Advisory in any other medium excluding electronic medium,
  68. please e-mail xforce@iss.net for permission.
  69.  
  70. Internet Security Systems, Inc. (ISS) is the leading provider of adaptive
  71. network security monitoring, detection, and response software that
  72. protects the security and integrity of enterprise information systems.  By
  73. dynamically detecting and responding to security vulnerabilities and
  74. threats inherent in open systems, ISS's SAFEsuite family of products
  75. provide protection across the enterprise, including the Internet,
  76. extranets, and internal networks, from attacks, misuse, and security
  77. policy violations.  ISS has delivered its adaptive network security
  78. solutions to organizations worldwide, including firms in the Global 2000,
  79. nine of the ten largest U.S. commercial banks, and over 35 governmental
  80. agencies.  For more information, call ISS at 678-443-6000 or 800-776-2362
  81. or visit the ISS Web site at http://www.iss.net.
  82.  
  83. Disclaimer
  84. The information within this paper may change without notice. Use of this
  85. information constitutes acceptance for use in an AS IS condition. There
  86. are NO warranties with regard to this information. In no event shall the
  87. author be liable for any damages whatsoever arising out of or in
  88. connection with the use or spread of this information. Any use of this
  89. information is at the user's own risk.
  90.  
  91. X-Force PGP Key available at: http://www.iss.net/xforce/sensitive.html as
  92. well as on MIT's PGP key server and PGP.com's key server.
  93.  
  94. X-Force Vulnerability and Threat Database: http://www.iss.net/xforce
  95.  
  96. Please send suggestions, updates, and comments to:
  97. X-Force <xforce@iss.net> of Internet Security Systems, Inc.
  98.  
  99. -----BEGIN PGP SIGNATURE-----
  100. Version: 2.6.3a
  101. Charset: noconv
  102.  
  103. iQCVAwUBNu3GuzRfJiV99eG9AQF48wP+J1/vW040sA5f9Nz56JEF9s6d/tpainG1
  104. Qw7Jxbry374IFinJZfk/K5FJkdbjJfMcyGfgWJjNriYZJ0EKFkQcRK7XNAUe8AGu
  105. LWaBW4l0v1Qox3ueR3GdCskQ8haK9vpxkFkbPmlefIWKMsVhncQPloJwU3/WyPNV
  106. uLJBWqHEpkU=
  107. =Zp+/
  108. -----END PGP SIGNATURE-----
  109.  
  110. ------------------------------------------------------------------------------
  111.  
  112. Date: Tue, 16 Mar 1999 22:28:11 -0800
  113. From: aleph1@UNDERGROUND.ORG
  114. To: BUGTRAQ@netspace.org
  115. Subject: Microsoft Security Bulletin (MS99-009)
  116.  
  117. The following is a Security  Bulletin from the Microsoft Product Security
  118. Notification Service.
  119.  
  120. Please do not  reply to this message,  as it was sent  from an unattended
  121. mailbox.
  122.                     ********************************
  123.  
  124. Microsoft Security Bulletin (MS99-009)
  125. --------------------------------------
  126.  
  127. Patch Available for "Malformed Bind Request" Vulnerability
  128.  
  129. Originally Posted: March 16, 1999
  130.  
  131. Summary
  132. =======
  133. Microsoft has released a patch that eliminates a vulnerability in the LDAP
  134. Bind function for Microsoft (r) Exchange (r) 5.5. The vulnerability could
  135. allow denial of service attacks against an Exchange server or, under certain
  136. conditions, could allow arbitrary code to be run on the server.
  137.  
  138. A fully supported patch is available, and Microsoft recommends that
  139. customers who are at risk from this attack download and install it.
  140.  
  141. Issue
  142. =====
  143. The Bind function in the Exchange 5.5 Directory Service has an unchecked
  144. buffer that poses two threats to safe operation. The first is a denial of
  145. service threat. A malformed Bind request could overflow the buffer, causing
  146. the Exchange Directory service to crash. The server would not need to be
  147. rebooted, but the Exchange Directory service, and possibly dependent
  148. services as well, would need to be restarted in order to resume messaging
  149. service. The second threat is more esoteric and would be far more difficult
  150. to exploit. A carefully-constructed Bind request could cause arbitrary code
  151. to execute on the server via a classic buffer overrun technique. Neither
  152. attack could occur accidentally.
  153.  
  154. Customers who are using Exchange but who have turned off LDAP support in the
  155. Directory Service are not at risk from this vulnerability. Customers also
  156. can reduce their vulnerability to attacks from external sources by filtering
  157. incoming packets destined for TCP port 389, the LDAP service port.
  158.  
  159. Microsoft has no reports of any customers being affected by this
  160. vulnerability. However, Microsoft is proactively releasing a patch that
  161. corrects the problem.
  162.  
  163. Affected Software Versions
  164. ==========================
  165.  - Microsoft Exchange Server 5.5
  166.  
  167. What Microsoft is Doing
  168. =======================
  169. Microsoft has released patches that fix the problem identified. The patches
  170. are available for download from the sites listed below in What Customers
  171. Should Do.
  172.  
  173. Microsoft also has sent this security bulletin to customers
  174. subscribing to the Microsoft Product Security Notification Service.
  175. See http://www.microsoft.com/security/services/bulletin.asp for
  176. more information about this free customer service.
  177.  
  178. Microsoft has published the following Knowledge Base (KB) article on this
  179. issue:
  180.  - Microsoft Knowledge Base (KB) article Q221989,
  181.    XADM: Buffer Overrun in Exchange 5.5 LDAP Service,
  182.    http://support.microsoft.com/support/kb/articles/q221/9/89.asp
  183.    (Note: It might take 24 hours from the original posting of
  184.    this bulletin for the KB article to be visible in the Web-based
  185.    Knowledge Base.)
  186.  
  187. What Customers Should Do
  188. ========================
  189. Microsoft highly recommends that customers evaluate the degree of risk that
  190. this vulnerability poses to their systems and determine whether to download
  191. and install the patch. The patch can be found at:
  192.  - X86-based Exchange:
  193.    ftp://ftp.microsoft.com/bussys/exchange/exchange-public/
  194.    fixes/Eng/Exchg5.5/PostSP2/DIR-fix/PSP2DIRI.EXE
  195.  - Alpha-based Exchange:
  196.    ftp://ftp.microsoft.com/bussys/exchange/exchange-public/
  197.    fixes/Eng/Exchg5.5/PostSP2/DIR-fix/PSP2DIRA.EXE
  198.  
  199. (Note: The above URLs have been wrapped for readability)
  200.  
  201. More Information
  202. ================
  203. Please see the following references for more information related to this
  204. issue.
  205.  - Microsoft Security Bulletin MS99-009,
  206.    Patch Available for "Malformed Bind Request"
  207.    Vulnerability (the Web-posted version of this bulletin),
  208.    http://www.microsoft.com/security/bulletins/ms99-009.asp.
  209.  - Microsoft Knowledge Base (KB) article Q221989,
  210.    XADM: Buffer Overrun in Exchange 5.5 LDAP Service.
  211.    http://support.microsoft.com/support/kb/articles/q221/9/89.asp
  212.    (Note: It might take 24 hours from the original posting of
  213.    this bulletin for the KB article to be visible in the Web-based
  214.    Knowledge Base.)
  215.  
  216. Obtaining Support on this Issue
  217. ===============================
  218. If you require technical assistance with this issue, please
  219. contact Microsoft Technical Support. For information on contacting
  220. Microsoft Technical Support, please see
  221. http://support.microsoft.com/support/contact/default.asp.
  222.  
  223. Revisions
  224. =========
  225.  - March 16, 1999: Bulletin Created
  226.  
  227.  
  228. For additional security-related information about Microsoft
  229. products, please visit http://www.microsoft.com/security
  230.  
  231.  
  232. ------------------------------------------------------------------------
  233.  
  234. THE INFORMATION PROVIDED IN THE MICROSOFT KNOWLEDGE BASE IS PROVIDED "AS IS"
  235. WITHOUT WARRANTY OF ANY KIND. MICROSOFT DISCLAIMS ALL WARRANTIES, EITHER
  236. EXPRESS OR IMPLIED, INCLUDING THE WARRANTIES OF MERCHANTABILITY AND FITNESS
  237. FOR A PARTICULAR PURPOSE. IN NO EVENT SHALL MICROSOFT CORPORATION OR ITS
  238. SUPPLIERS BE LIABLE FOR ANY DAMAGES WHATSOEVER INCLUDING DIRECT, INDIRECT,
  239. INCIDENTAL, CONSEQUENTIAL, LOSS OF BUSINESS PROFITS OR SPECIAL DAMAGES, EVEN
  240. IF MICROSOFT CORPORATION OR ITS SUPPLIERS HAVE BEEN ADVISED OF THE
  241. POSSIBILITY OF SUCH DAMAGES. SOME STATES DO NOT ALLOW THE EXCLUSION OR
  242. LIMITATION OF LIABILITY FOR CONSEQUENTIAL OR INCIDENTAL DAMAGES SO THE
  243. FOREGOING LIMITATION MAY NOT APPLY.
  244.  
  245. (c) 1999 Microsoft Corporation. All rights reserved. Terms of Use.
  246.  
  247.    *******************************************************************
  248. You have received  this e-mail bulletin as a result  of your registration
  249. to  the   Microsoft  Product  Security  Notification   Service.  You  may
  250. unsubscribe from this e-mail notification  service at any time by sending
  251. an  e-mail  to  MICROSOFT_SECURITY-SIGNOFF-REQUEST@ANNOUNCE.MICROSOFT.COM
  252. The subject line and message body are not used in processing the request,
  253. and can be anything you like.
  254.  
  255. For  more  information on  the  Microsoft  Security Notification  Service
  256. please    visit    http://www.microsoft.com/security/bulletin.htm.    For
  257. security-related information  about Microsoft products, please  visit the
  258. Microsoft Security Advisor web site at http://www.microsoft.com/security.
  259.  
  260.