Kazaa patcht kritieke bug in netwerk

News.com schrijft dat de ontwikkelaars van het FastTrack netwerk, dat onder andere door Kazaa gebruikt wordt, gisteren een patch hebben uitgebracht nadat een ernstige beveiligingsfout bekend werd gemaakt op een security mailinglist. Volgens de ontdekker van de fout, die zichzelf 'Random Nut' noemt, stelt de bug kwaadwillenden in staat de computer van SuperNodes te laten crashen of over te nemen en zodoende willekeurige code daarop uit te voeren. Random Nut zegt contact te hebben opgenomen met Joltid, de ontwikkelaars van FastTrack, maar besloot de fout openbaar te maken toen van hen geen antwoord kwam. De door hem geschreven exploit zal niet openbaar gemaakt worden. Inmiddels is op de website van Kazaa een nieuwe versie te downloaden en moederbedrijf Sharman moedigt iedereen aan deze zo spoedig mogelijk te installeren:

"On Tue 13 May I e-mailed a guy at Joltid, and about two days later I filed a bug report at (the Kazaa Web site). Yesterday, after reading it on Full Disclosure, someone working for Joltid contacted me. He told me that the guy I e-mailed had been on a long honeymoon," he said.

[...] A representative for Sharman Networks, the company behind Kazaa, told ZDNet Australia that the company had been informed by Joltid that the issue wasn't serious.

Reacties (35)

Hier staat de nieuwe versie: http://download.com.com/3000-2166-10049974.html?part=kazaa&subj=dlpage

Ik heb liever een exploit dan spyware op mn pc, dus ik hou het nog ff bij de oude kazaa lite.

ach er zal toch ook wel snel een nieuwe versie van Kazaa lite verschijnen..

Voor meer informatie zie de Full Disclosure mailing list: http://lists.netsys.com/pipermail/full-disclosure/2003-May/009860.html

Ik snap niet waarom mensen de comps van supernodes willen laten crashen want ze hebben er zelf nadelen bij want dan kunnen zij weer minder/niet downloaden. Ik snap ubehaupt de lol van andermans comp slopen niet.

Platenmaatschappijen mischien?

Kunnen wij mooi hen een keer aanklagen.

$1.000.000.000 vindt ik wel een mooie schadevergoeding.

Daar kun je een hoop CD's van kopen, zelfs met de huidige prijzen

Zoiets moet je dan als een soort sponsoring zien? ;-)

"omdat het kan"

Volgens de ontdekker van de fout, die zichzelf 'Random Nut'

Hey, dat is de maker van K++!
Je weet wel, de verbeterde versie van Kazaa lite, die je userstats op 1000 gooit en zo

Maargoed, ik ben benieuwd of Kazaa Lite ook snel met een nieuwe versie komt

ik wist dat ik die naam van ergens kende

ik denk dat die patch er al in verwerkt zit dus volgens mij heb ik dan geen probleem

vast wel, als het de maker is van K++
zal ie vast ook wel ff zijn versie aanpassen.

Wat is daar nou beter aan dat op je 1000 staat, Geef je uberhaupt wel je bandbreedte weg om ook door andere van je computer te downloaden ?? Zo niet waarom heb jij dan het recht alles wel van andere te downloaden. Dit vind ik nou typse iets van Asocial internet gedrag

Hier zie je toch weet het voordeel van open source projecten zoals emule...

- zelf controleren op backdoor's
- fouten zelf opsporen
- compileren met optimalisaties voor de eigen machine
- functionaliteiten toevoegen.....

enz enz

Ik vindt het een beetje arrogant van fasttrack om niet te reageren op die man... hij hoeft die exploit die hij heeft geschreven maar door te sturen naar de online nieuws mannen en iedereen weet dat die fout er in zit..

Zegt wel weer hoe nauw de mannen het met beveiliging van hun netwerk nemen...

Het lek is in twee weken tijd gefixt. Dat is toch heel wat sneller dan de gem. tijd die een miljarden bedrijf zoals Microsoft nodig heeft voor het fixen van hun (vele) security bugs.

En meteen Microsoft er weer bijhalen. We hebben het nu niet over een besturingsysteem. We hebben het over een stukje software dat een stuk simpeler in elkaar zit.

Deze bug kan leuk gebruikt worden door de film en muziek maatschappijen

tiens, als ik het artikel op webwereld lees is het omgekeerd. Vanuit de Supernode kun je dan pakketjes voor software updates wijzigen, zodat je (tot 200 verbonden cliënts) kan compromiteren.

Het netwerk gebruikt zo nu en dan informatiepakketjes om gebruikers te laten weten dat er een softwareupdate beschikbaar is. Wie als supernode zo'n pakketje bewerkt en verstuurt naar de Kazaa-clients, kan de controle krijgen over de machines van de gebruikers. In ongeveer de helft van de geteste gevallen, lukte het om op die manier het lek te misbruiken.

lees ik iets verkeerd??

Geldt dit ook voor kazaa lite?

Als je Kazaa Lite gebruik als supernode, dan denk ik wel dat dit daar ook voor geld

Ik verwacht wel dat ze snel met een nieuwe versie komen, lijkt me als kazaa-lite gebruiker nou niet echt een prettig gevoel dat iedereen zomaar op je pc kan komen

Deze bug geldt alleen voor supernodes hé? Dus als je die uitzet loop je geen gevaar..

Geldt dit ook voor kazaa lite?

Deze kans acht ik groot aangezien Kazaa Lite op basis van Kazaa is gebouwd en niet van scratch.

Vulnerability Information
-------------------------
Packet 0 (possibly called "KAZAA_CONNECTION_INFO", but
from here on called "Packet 0' death", note the zero)
is used to send up to 200 supernode IPs to clients and
supernodes. The supernodes' packet 0' death handler
(possibly class "supernode_connection_t") is different
from the other packet 0' death handlers, and it also
contains the buffer overflow bug. The supernode packet
0' death handler assumes only 200 supernode entries
can be received, but if you send more you can
overwrite the return address and more of the stack.

The size of the packet must be a multiple of 8 bytes
or the whole packet is ignored, and since max packet
size is 65535 bytes, a total of 8191 supernode entries
can be sent. Of these 8-byte entries, only the first 6
bytes are stored on the stack. This means that you can
send 49146 bytes of code to each supernode. If more is
required the code could download the rest manually.
Format of each entry:

DWORD = Supernode IP in network order.
WORD = Supernode port in network order.
BYTE = Can't be used by attacker's code. Set it to 0.
BYTE = Can't be used by attacker's code. Set it to 0.

The IP and port fields are later BSWAP'd by the FT
code.

The IP cannot be a private IP address. Kazaa v2.0.2
considers these IP ranges to be private and ignores
all packet entries with private IPs:

* 127.b.c.d
* 10.b.c.d
* 0.b.c.d
* 172.16.0.0 - 172.31.255.255
* 192.168.c.d
* 255.255.255.255

Also, the supernode port cannot equal 0000h. Kazaa
ignores all entries whose port equals 0.

I tested executing code a couple of times, and it may
only work about 50% of the time since the stack
sometimes has another address. Instead of executing
code the supernode will just crash.

Since executing code doesn't work all the time, a
possible exploit could first download all supernode
IPs and ports from the supernode. Then send the packet
0' death and try to execute code. If the infected
supernode doesn't reply back within say 30 secs, we
can assume it crashed. If it didn't crash, ignore all
supernode IPs we downloaded and let the infected
supernode use them. Now try next supernode. When no
more left, call ExitProcess.

With Kazaa v2.0.2, all that is required to crash the
supernode is to send 203 entries. Example: Send packet
0' death, 203 entries all equal to: 0FFFFFFFEh,
0FFFFFFFFh.

Discovery
---------
I discovered this vulnerability either in Dec 2002 or
Jan 2003 when writing K++

Wel erg lame om de de tekst uit de link van deze post ( http://www.tweakers.net/reacties.dsp?Action=Posting&ParentID=777719 ) te copy/paste

supernode betekent dat je je ongebruikte bandbreedte gebruikt om als server te dienen. op die manier kunnen meer users sneller zoeken. je hebt niet fysiek de bestanden staan maar hij houdt wel bij waar ze te vinden zijn. als ik me niet vergis