El fabricante no pone a disposición de los usuarios ninguna actualización de seguridad relativa a esta vulnerabilidad, principalmente por dos motivos: una vez conocida es fácil subsanar el problema y, por otra parte, está catalogada como moderada y sólo afectaría a los instaladores dispuestos para determinadas aplicaciones, de forma que las nuevas versiones ya incluirán instaladores más adecuados. En estos nuevos instaladores, toda la información relativa a contraseñas que pueda recogerse, se va a cifrar adecuadamente con la suficiente robustez para no ser susceptible de ser de utilidad a un atacante.
Si aún así se utiliza el software afectado cabe tomar algunas medidas que podrían evitar llegar a esta situación de vulnerabilidad. Estas están referidas a modificar los privilegios de acceso a los archivos críticos y llevar una política de cambio de contraseñas correcta, de modo que cuando los usuarios reciben una contraseña inicial de acceso al sistema, la actualicen tras la primera utilización, además de realizar cambios periódicos.
Aunque no exista una actualización disponible para subsanar el fallo, como ya se ha dicho, el fabricante si pone a merced de sus usuarios una herramienta que permite borrar las contraseñas almacenadas en el sistema en todos aquellos directorios que son accesibles. Se trata de “Killpwd”, que actualmente se encuentra en su versión 3.0 y no ocupa más de 200 KB.
Su misión concreta es escanear de forma automática los archivos de instalación que se han descrito en el post anterior y borrar directamente las contraseñas que se hayan podido guardar en ellos. Está destinada de forma específica a su uso sobre esos archivos de instalación que se utilizan en las versiones apuntadas de SQL Server (7.0 y 2000). La descarga es gratuita y responde al código 263968-Fix en el apartado de descargas del fabricante.
También da la opción de hacer un escaneado más personal al usuario. Una vez desempaquetado (no es necesaria su instalación como tal) en el sistema podría acudirse a la consola y utilizar la siguiente sentencia para comprobar cualquier archivo “.ISS” que se encontrase en un determinado directorio identificado previamente por el usuario:
>killpwd –R –P “C:\Directorio_a_escanear” –T “*.iss”
Sería una opción más directa y concisa, pero lo mejor es ejecutarlo de forma genérica para evitar posibles olvidos, ya que el modo manual requiere un conocimiento mucho más profundo del funcionamiento del sistema.
Este es un claro ejemplo de una herramienta destinada a subsanar una vulnerabilidad, dado que dicha vulnerabilidad no es crítica y no hace falta llegar a utilizar un parche en forma de actualización que subsane los problemas planteados por el instalador. Para versiones muy posteriores no se plantean problemas ya que ya estarán libres del error, pero si existe (en este caso, ha existido) un periodo de tiempo crítico en donde el software afectado se utiliza en mayor medida y aún no están implantadas esas nuevas soluciones. Ese sería el periodo donde la diferencia entre la atención hacia vulnerabilidades del sistema o la falta de información pueden jugar un papel importante para la seguridad del sistema.
No hay comentarios:
Publicar un comentario