<span style="font-style: italic;"><span style="font-style: italic;"></span></span>Hi,<br><br>You told that as a&nbsp; workaround that we should never allow &quot;creation of&nbsp;&nbsp;more secure folder in less secure ones.&quot;<br>
<br>
I agree but, as i see..,&nbsp; that means that also allowing the &quot;Bypass traverse checking&quot; policy is also a bad idea.<br><br>Anyway, there are several scenarios where we could not protect us against that threat easily, like for example a shared environment with terminal server/citrix where all our stored documents can be stolen. 
<br>In that case, only a software restriction policy will protect us.<br><br>regards,<br><br>Andres Tarasco<br><br><br><br><div><span class="gmail_quote">2007/2/22, 3APA3A &lt;<a href="mailto:3APA3A@security.nnov.ru">3APA3A@security.nnov.ru
</a>&gt;:</span><blockquote class="gmail_quote" style="border-left: 1px solid rgb(204, 204, 204); margin: 0pt 0pt 0pt 0.8ex; padding-left: 1ex;"><br><br>Title:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Microsoft Windows 2000/XP/2003/Vista ReadDirectoryChangesW
<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;informaton leak<br>Author:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 3APA3A, <a href="http://securityvulns.com">http://securityvulns.com</a><br>Affected:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Microsoft Windows 2000,XP,2003,Vista<br>Exploitable:&nbsp;&nbsp;&nbsp;&nbsp;Yes<br>Type:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Remote&nbsp;&nbsp;(from&nbsp;&nbsp;local&nbsp;&nbsp;network), authentication required
<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(NULL session was not tested).<br>Class:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Information leak, insecure design<br>CVE:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;CVE-2007-0843<br>Original<br>Advisory:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href="http://securityvulns.com/advisories/readdirectorychanges.asp">
http://securityvulns.com/advisories/readdirectorychanges.asp</a><br>SecurityVulns<br>news:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <a href="http://securityvulns.com/news/Microsoft/Windows/ReadDirector.html">http://securityvulns.com/news/Microsoft/Windows/ReadDirector.html
</a><br><br><br>Intro:<br><br>It&#39;s&nbsp;&nbsp;very simple yet interesting vulnerability. ReadDirectoryChangesW()<br>API&nbsp;&nbsp;allows&nbsp;&nbsp;application&nbsp;&nbsp;to&nbsp;&nbsp;monitor&nbsp;&nbsp;directory&nbsp;&nbsp;changes&nbsp;&nbsp;in real time.<br>bWatchSubtree&nbsp;&nbsp;parameter&nbsp;&nbsp;of&nbsp;&nbsp;this&nbsp;&nbsp;functions&nbsp;&nbsp;allows to monitor changes
<br>within&nbsp;&nbsp;whole&nbsp;&nbsp;directory&nbsp;&nbsp;tree&nbsp;&nbsp;with&nbsp;&nbsp;of monitored directory. To monitor<br>changes directory must be open with LIST (READ) access. Function returns<br>the&nbsp;&nbsp; list&nbsp;&nbsp; of&nbsp;&nbsp;modified&nbsp;&nbsp;files&nbsp;&nbsp;with&nbsp;&nbsp;a&nbsp;&nbsp;type&nbsp;&nbsp;of&nbsp;&nbsp;modification.&nbsp;&nbsp;File
<br>modification refers to any modification of file record in directory.<br><br>Vulnerability:<br><br>ReadDirectoryChangesW()&nbsp;&nbsp;doesn&#39;t&nbsp;&nbsp;check&nbsp;&nbsp;user&#39;s&nbsp;&nbsp;permissions&nbsp;&nbsp;for&nbsp;&nbsp;child<br>child&nbsp;&nbsp;objects,&nbsp;&nbsp;making&nbsp;&nbsp;it&#39;s&nbsp;&nbsp;possible&nbsp;&nbsp;to&nbsp;&nbsp;retrieve&nbsp;&nbsp;information about
<br>objects user has no &quot;LIST&quot; permissions.<br><br>Impact:<br><br>Any&nbsp;&nbsp;unprivileged&nbsp;&nbsp;user with LIST access to parent directory can monitor<br>any&nbsp;&nbsp;files&nbsp;&nbsp;in&nbsp;&nbsp;child directories regardless of subdirectories and files
<br>permissions.&nbsp;&nbsp;Because&nbsp;&nbsp;by&nbsp;&nbsp;default&nbsp;&nbsp;Windows&nbsp;&nbsp;updates&nbsp;&nbsp;access time of any<br>accessed&nbsp;&nbsp;files on NTFS volumes, it makes it possible for user to gather<br>information&nbsp;&nbsp;about&nbsp;&nbsp;NTFS-protected files, their names and time of access
<br>to&nbsp;&nbsp;the&nbsp;&nbsp;files&nbsp;&nbsp;(reading,&nbsp;&nbsp;writing,&nbsp;&nbsp;creation, deletion, renaming, etc).<br>Filenames&nbsp;&nbsp;may&nbsp;&nbsp;contain&nbsp;&nbsp;sensitive information or leak information about<br>user&#39;s behavior (e.g. cookies files).<br><br>In&nbsp;&nbsp;addition&nbsp;&nbsp;to&nbsp;&nbsp;it&#39;s own impact, this vulnerability elevates impact of
<br>few&nbsp;&nbsp;different&nbsp;&nbsp;vulnerabilities&nbsp;&nbsp;and&nbsp;&nbsp;common&nbsp;&nbsp;practices,&nbsp;&nbsp;to be reported<br>later.<br><br>Exploit:<br><br><a href="http://securityvulns.com/files/spydir.c">http://securityvulns.com/files/spydir.c</a><br><br> compiled version of Spydir is available from
<br><br><a href="http://securityvulns.com/soft/">http://securityvulns.com/soft/</a><br><br> Usage example:<br><br>spydir \\corpsrv\corpdata<br><br>I&nbsp;&nbsp;believe&nbsp;&nbsp;you&nbsp;&nbsp;find&nbsp;&nbsp;this&nbsp;&nbsp;utility&nbsp;&nbsp;useful regardless of this security<br>
issue.&nbsp;&nbsp;It shows names of accessed/modified files for given directory in<br>real time (it seems there are non-security bugs in ReadDirectoryChangesW<br>implementations,&nbsp;&nbsp;e.g.&nbsp;&nbsp;you can not see non-ASCII names and some changes
<br>are missing).<br><br>Workaround:<br><br>Avoid&nbsp;&nbsp;creation&nbsp;&nbsp;of&nbsp;&nbsp;more secure folder in less secure ones. Avoid using<br>sensitive data in documents naming.<br><br>Vendor (Microsoft):<br><br>January, 17 2006&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Initial vendor notification
<br>January, 18 2006&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Vendor reply (assigned)<br>January, 26 2006&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;2nd vendor notification<br>February, 7 2006&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;3rd vendor notification<br>February, 9 2006&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Vendor accepted vulnerability as &quot;service pack
<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;class&quot; for Windows XP and Windows 2003.<br>February, 9 2006&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Accepted to wait until SP<br>February, 22 2006&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Vendor gives SP timelines (late 2006 for W2K3<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SP2 and 2007 for XP SP3)
<br>February, 22&nbsp;&nbsp;2007&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Public&nbsp;&nbsp;release,&nbsp;&nbsp;because&nbsp;&nbsp;Windows Vista is<br>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;released with same vulnerability.<br><br><br>_______________________________________________<br>Full-Disclosure - We believe in it.
<br>Charter: <a href="http://lists.grok.org.uk/full-disclosure-charter.html">http://lists.grok.org.uk/full-disclosure-charter.html</a><br>Hosted and sponsored by Secunia - <a href="http://secunia.com/">http://secunia.com/
</a><br></blockquote></div><br><br clear="all"><br>-- <br>Andres Tarasco