Newsgroup: it.comp.os.win.xp
Titolo: Pubblicata hotfix per vulnerabilità file WMF

Su Windowsupdate e qui
http://www.microsoft.com/technet/security/Bulletin/MS06-001.mspx
 è da
oggi disponibile (in anticipo sulle previsioni del 10 gennaio) la
hotfix 912919 per la vulnerabilità sul rendering dei file grafici WMF.
Saluti.
-- 
Rossano Orlandini
MCSE MCSA MVP - Windows Server

 hotfix 912919 per la vulnerabilità sul rendering dei file grafici WMF.
Bene.
Forse il forte impatto mediatico che c'è stato, e i molteplici attacchi
alla politica di sicurezza di M$, ha ottenuto il risultato sperato.
Peccato che domani sia festa e che quindi il 99% delle aziende
applicherà la patch ai sistemi solo Lunedì. Si poteva pubblicarla 1
giorno prima, comunque sempre meglio di niente.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 giorno prima, comunque sempre meglio di niente.
La applicheranno quando riaccendono i PC.
E' poco probabile che un virus infetti un computer spento ;-) 

 hotfix 912919 per la vulnerabilità sul rendering dei file grafici WMF.
Leggendo qua e là sono incappato in un post su un blog che riporta questo:
----------------------------
Who is going to bindiff the MS WMF patch first? Already done.
Apparently, guys from the funsec list:
“looked at it over someone else’s shoulder, on a 64 bit system, they
just disallowed SETABORT. In other words, the “functionality” is
broken (which is a good thing)” — Pierre.
Rings any bells?
Gadi Evron,
----------------------------
La cosa bella è che dopo tanto parlare di testing, localizzazione,
quality assurance ecc.ecc. hanno fatto esattamente quello che ha fatto
Ilfak Guilfanov con la sua patch rilasciata il 31/12 (ovvero 6 giorni
prima di MS).
LOL.


 hotfix 912919 per la vulnerabilità sul rendering dei file grafici WMF.
grazie per l'info.
Strano che non sia stato quel simpatico (coglione, per il contatore) P4
a darci la sublime notizia. :)
-- 
/Ely/ 
(> ICQ 23839420 <) (> AIM ElySwiss <)
New happy Apple User since 23 june 2004

 ha scritto nel messaggio 
news:1136544267.8...@g43g2000cwa.googlegroups.com...
Come al solito parli sempre a sproposito dicendo CAZZATE.
http://www.microsoft.com/technet/security/bulletin/ms06-001.mspx
Frequently asked questions (FAQ) related to this security update
Does this update contain any security-related changes to functionality?
Yes. The change introduced to address this vulnerability removes the
support for the SETABORTPROC record type from the META_ESCAPE record in
a WMF image. This update does not remove support for ABORTPROC
functions registered by application SetAbortProc() API calls.
Ovvero per chi non capisse l'inglese significa che NON viene rimosso il
SETABORT come fa la patch non ufficiale rilasciata da un certo
Guilfanov ma la patch Microsoft rimuove il META_ESCAPE e la
funzionalità di setabortproc non è stata rimossa e funziona ancora
cioè non è broken.
Saluti da P4

 prima di MS).
Come al solito parli sempre a sproposito dicendo CAZZATE.
http://www.microsoft.com/technet/security/bulletin/ms06-001.mspx
Frequently asked questions (FAQ) related to this security update
Does this update contain any security-related changes to functionality?
Yes. The change introduced to address this vulnerability removes the
support for the SETABORTPROC record type from the META_ESCAPE record in
a WMF image. This update does not remove support for ABORTPROC
functions registered by application SetAbortProc() API calls.
Ovvero per chi non capisse l'inglese significa che NON viene rimosso il
la funzionalità di setabort come fa la patch non ufficiale rilasciata
da un certo
Guilfanov ma la patch Microsoft lo rimuove SOLO dal META_ESCAPE e la


 cioè non è broken.
Dato che non conosco il formato, mi spieghi per cortesia con parole
semplici cos'è il META_ESCAPE e cosa c'è di differente (in parole
povere) tra i due approcci?
Grazie.


 Ottimo.
Tu sei tutto matto !
devi andare da uno piscanalista (o da uno psichiatra ?), soffri 
decisamente di personalita' multiple !
P4 cretino
P4 coglione

 Come al solito parli sempre a sproposito dicendo CAZZATE.
E tu come al solito, non sai effetturare una semplice operazione come 
inviare un messaggio su un newsgroup
P4 coglione
P4 cretino
e non lo dico per il contatore, ma proprio perche' penso che tu lo sia 
fortemente

 fortemente
quoto (sia per il contatore, sia per la convinzione)


 povere) tra i due approcci?
Te lo già spiegato nel messaggio di prima la differenza fra i 2
approcci, cioè in parole semplici la patch NON ufficiale bloccava
brutalmente OGNI possibile chiamata alla setabortproc quindi non solo
bloccava la setabortproc relativa ai file WMF ma bloccava
indistintamente qualsiasi altro programma che voleva usare la
setabortproc (e la setabortproc è usata da programmi che vogliono
fornire la possibilità di abortire una certa procedura, per esempio lo
spooler di stampa di windows che tramite la setabortproc consente di
annullare un processo di stampa, ecc.), mentre la patch Microsoft
agisce in maniera selettiva e dove c'è realmente bisogno, togliendo il
supporto alla setabort dal record chiamato META_ESCAPE usato dalle WMF.
Will this break anything?
Setting an Abort procedure is likely used by some software to interrupt
long-running operations, and these won't work any more. We don't care
about it for WMF images, but we may for other things.
The printing subsystem (something which I know pretty well) supports
SetAbort(), and when this is disabled, it may be that you can't cancel
an application printing to the spooler - it may be that you have to
wait until the whole job is spooled before you can cancel it. I dunno.
This certainly involves a tradeoff: it's one thing to worry about what
the patch does, but if I don't install this, my customers will get
infected. I'm willing to live
http://www.hexblog.com/2005/12/wmf_vuln.html
Come vedi bastava informarsi prima invece che sparare a zero contro
Microsoft.
Saluti da P4

 ha scritto nel messaggio 
news:1136571554.2...@f14g2000cwb.googlegroups.com...


 brutalmente OGNI possibile chiamata alla setabortproc quindi non solo
Eppure anche in altri luoghi sostengono che la patch di MS sia MOLTO
simile alla patch di Ilfak che avevo riportato.
http://blogs.securiteam.com/index.php/archives/184
Non sò perché ma mi sento di fidarmi di più di chi ha analizzato il
codice disassemblato e che gode di una certa fama rispetto a te che godi
di altra fama.


 migliore.
ROTFL
Con questa i miei colleghi si sbellicheranno. :-)


 Saluti da P4
Guarda, io non conosco il formato, ma so leggere l'inglese, e ti 
assicuro che quello che hai scritto in italiao *non* e' la traduzione (e 
neppure la parafrasi) di quello che hai copiato dal sito Microsoft. 

 povere) tra i due approcci?
Appunto! e ti permetti di postare stupidaggini dicendo che è lo stesso
tipo di patch?
Dette in parole molto semplici la patch NON ufficiale bloccava ogni
chiamata alla setabortproc e quindi qualunque programma usasse la
setabortproc viene inibito. Tale chiamata serve per annullare
operazioni lunghe e/o gestire eccezioni ed è, usata oltre che dal
motore dei WMF anche da tanti altri programmi che la vogliono usare,
per esempio è usata anche dallo spooler di stampa di windows e
consente di annullare una stampa.
Microsoft invece non blocca brutalmente ogni possibile chiamata alla
setabortproc ma ha tolto la possibilità di chiamare la setabortproc
dalle immagini WMF tramite il record di META_ESCAPE delle WMF.
Setting an Abort procedure is likely used by some software to interrupt
long-running operations, and these won't work any more. We don't care
about it for WMF images, but we may for other things.
The printing subsystem (something which I know pretty well) supports
SetAbort(), and when this is disabled, it may be that you can't cancel
an application printing to the spooler - it may be that you have to
wait until the whole job is spooled before you can cancel it. I dunno.
This certainly involves a tradeoff: it's one thing to worry about what
the patch does, but if I don't install this, my customers will get
infected. I'm willing to live
http://www.hexblog.com/2005/12/wmf_vuln.html
 
Saluti da P4

 simile alla patch di Ilfak che avevo riportato.
Documento ufficiale che spiega cosa fa la patch di Ilifak Guilfanov
http://handlers.sans.org/tliston/WMFTech.pdf
Ilifak Guilfanov's Patch:
GDI escapes are handled within GDI32.DLL by a function conveniently
known as
Escape( ). If it were possible to re-write that function in such a way
that it would ignore
any SETABORTPROC escapes, it would block the vulnerability not only
from within
the Windows Picture and Fax Viewer (shimgvw.dll) but from any other
unknown
vectors as well. Of course, doing so would block any legitimate uses of
SETABORTPROC escapes
Possible Side Effects
Because the patch removes the ability for any program to access the
SETABORTPROC
escape, it is possible that there be side effects due to the
installation of the patch.
Quindi la patch NON ufficiale di Guilfanov SEGA VIA completamente la
possibilità ai programmi di usare la setabortproc, mentre la patch di
Microsoft no perchè rimuove SOLO dal record dei WMF senza alterare il
funzionamento della setabortproc da programmi che ne fanno un legittimo
uso.
Ora crepa imbecille!
Saluti da P4

 ha scritto nel messaggio 
news:1136630519.6...@g49g2000cwa.googlegroups.com...


che tu dici. E' un pezzente.
Cos'è? Ti fai i complimenti da solo, P4?


>simile alla patch di Ilfak che avevo riportato.
Quale parte di "MOLTO simile" non ti è chiara?
                ^^^^^^^^^^^^
Capisco che tu abbia difficoltà nel comprendere l'italiano, ma per
questo non devi arrabbiarti con gli altri :-)


 prima di MS).
CIT: "hanno fatto esattamente quello che ha fatto Ilfak Guilfanov"
Va bene arrampicarsi, ma quando è troppo è troppo...

 Va bene arrampicarsi, ma quando è troppo è troppo...
Infatti prima ho riportato un post di un blog, poi P4 mi ha corretto,
quindi ho chiesto delucidazioni (reali, dato che io Windows non lo
conosco benissimo), quindi lui me le ha date (anche se non si capiva un
granché), poi ho trovato un altro documento che spiegava le differenze
dicendo che i due approcci non erano "uguali" ma molto simili.
Per me si poteva anche chiudere lì.


 Va bene arrampicarsi, ma quando è troppo è troppo...
Peraltro mi sembrava abbastanza chiaro che la correzione tra
l'"esattamente" iniziale e il "MOLTO simile" finale fosse già di per sè
sufficientemente indicativa di un cambio rotta successivo al
riconoscimento del mio errore.
