Nuevo 0 day en Windows acumula al menos cinco vulnerabilidades graves
Mal comienzo de año para Microsoft. Con la última publicación de una vulnerabilidad que permite la ejecución de código, Microsoft acumula al menos cinco vulnerabilidades recientes graves sin parchear. Además, 2010 ha sido un año récord para Microsoft en el que se han corregido más vulnerabilidades que cualquier otro. Esto, aunque no es necesariamente un dato "negativo", indica que a Microsoft se le empieza a acumular el trabajo.
Si 2010 ha sido un año con muchas vulnerabilidades en Windows (además se batió el récord de número de vulnerabilidades corregidas en un solo mes en sus productos en octubre), 2011 no comienza mejor. Aunque se tenían indicios (sin muchas pruebas) sobre el fallo desde el día 23 de diciembre, finalmente el día 4 de enero Microsoft ha declarado que existe una grave vulnerabilidad en su intérprete de gráficos, concretamente en la librería shimgvw.dll. Y lo ha declarado porque finalmente ha salido a la luz (una vez más a través de Metasploit) un exploit para aprovechar el fallo. El problema se da en todos los sistemas operativos vigentes excepto Windows 7 y 2008 R2 y permite que un atacante ejecute código con solo enviar a la víctima un archivo thumbnail, o hacer que lo visualice de alguna forma.
Microsoft recomienda renombrar o eliminar los permisos a todos los usuarios para acceder a %WINDIR%\SYSTEM32\shimgvw.dll. Esto tendrá un impacto indeterminado sobre las aplicaciones que utilicen esta librería.
Con este fallo, Microsoft acumula al menos cinco vulnerabilidades graves y recientes en sus sistemas operativos que todavía no han sido solucionadas. En concreto:
* Michal Zalewski acaba de hacer público que, a través de su nueva herramienta de fuzzing, ha descubierto una denegación de servicio en Internet Explorer 8 que, muy probablemente, acabará permitiendo la ejecución de código. Según él, "looks like EIP is pretty much fully attacker-controlled." (parece que el registro EIP es bastante controlable por completo por el atacante). Todavía no se ha demostrado y se sospecha que es conocido por terceras partes no demasiado confiables que podrían estar usándolo.
* Un fallo al procesar los CSS de Internet Explorer permite la ejecución de código. Descubierto a principios de diciembre como denegación de servicio y redescubierto como vulnerabilidad de ejecución de código el 14 de diciembre. Existe exploit público.
* Un fallo en el componente Windows Fax Cover Page Editor (fxscover.exe) de todos los Windows que permite la ejecución de código si la víctima abre un archivo con extensión .cov especialmente manipulado. Descubierto el 26 de diciembre y con exploit público.
* Un problema de elevación de privilegios en el kernel desde finales de noviembre. Existe exploit público.
* Un fallo en la librería Data Access Objects (dao360.dll) que permite la ejecución de código, relacionada con el DLL "hijacking". Descubierto a finales de octubre.
Además, acumula otras vulnerabilidades recientes sin parchear en sus herramientas de administración WMI, en el servidor FTP de IIS versión 7... y otras menos graves que acumula desde principios de 2010.
El 11 de enero se esperan nuevos boletines de seguridad de Microsoft, pero muy probablemente sólo se corrijan algunos de estos problemas en ellos.
Más Información:
Vulnerability in Graphics Rendering Engine Could Allow Remote Code Execution
http://www.microsoft.com/technet/security/advisory/2490606.mspx
Recomendaciones contra la última vulnerabilidad en Internet Explorer
http://www.hispasec.com/unaaldia/4444
Fuzzer variant: cross_fuzz_msie_randomized_seed.html
http://lcamtuf.coredump.cx/cross_fuzz/msie_crash.txt
0 day: Elevación de privilegios en Microsoft Windows
http://www.hispasec.com/unaaldia/4415
Vulnerability in Internet Explorer Could Allow Remote Code Execution
http://www.microsoft.com/technet/security/advisory/2488013.mspx
Fuente
