Microsoft ha pubblicato un avviso di sicurezza (975497) con il quale conferma la notizia di una vulnerabilità (CVE-2009-3103) di tipo zero day circolata nella tarda serata di ieri e monitorata dal cert-spc. Alcune fonti indicano, infatti, la presenza in Rete di un exploit allo stadio di proof-of-concept in grado di sfruttare una vulnerabilità che interessa Microsoft SMB2 (Microsoft Server Message Block - SMB): il protocollo di condivisione file utilizzato in Windows. La vulnerabilità si manifesta in SRV2.SYS quando sono gestiti header di pacchetti SMB anomali in NEGOTIATE PROTOCOL REQUEST. Stando alle attuali informazioni i sistemi interessati sono:
•    Windows Vista, Windows Vista Service Pack 1 E Windows Vista Service Pack 2
•    Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, E Windows Vista x64 Edition Service Pack 2
•    Windows Server 2008 for 32-bit Systems e Windows Server 2008 for 32-bit Systems Service Pack 2
•    Windows Server 2008 per sistemi x64 e Windows Server 2008 per sistemi  x64 Service Pack 2
•    Windows Server 2008 per Sistemi Itanium e Windows Server 2008 per Sistemi Itanium Service Pack 2

Diversamente da quanto indicato dalle fonti riportate in calce a questo bollettino, non risultano interessati, secondo quando indicato da Microsoft, i seguenti sistemi:
•    Microsoft Windows 2000 Service Pack 4
•    Windows XP Service Pack 2 e Service Pack 3
•    Windows XP Professional x64 Service Pack 2
•    Windows Server 2003 Service Pack 2
•    Windows Server 2003 x64 Service Pack 2
•    Windows Server 2003 SP2 per Sistemi Itanium
•    Windows 7 32-bit Systems
•    Windows 7 x64-based Systems
•    Windows Server 2008 R2 x64
•    Windows Server 2008 R2 Itanium

Tale vulnerabilità non risulta corretta negli aggiornamenti di sicurezza pubblicati da Microsoft per il mese di settembre e segnalati dal CERT-SPC. Microsoft indica alcuni fattori mitiganti per lo sfruttamento di questa vulnerabilità ed alcuni possibili workaournd come la disabilitazione nel registro di sistema di SMB v2 oppure l'implementazione di regole ad hoc sul firewall in relazione al traffico generato sulle porte 139 e 445 utilizzate dal componente vulnerabile. Per quest'ultimo workaround l'impatto potrebbe limitare o impedire il funzionamento anche di altre applicazioni e servizi di Windows che impiegano tali porte
Ulteriori dettagli sono disponibili presso le seguenti URL:

http://blogs.technet.com/msrc/
http://www.microsoft.com/technet/security/advisory/975497.mspx
http://archives.neohapsis.com/archives/fulldisclosure/2009-09/0090.html
http://isc.sans.org/diary.html?storyid=7093