Microsoft ha confirmado la existencia de una vulnerabilidad que puede ser aprovechada por un atacante remoto para ejecutar código arbitrario a través de una página web especialmente manipulada para este fin.
La vulnerabilidad existe como una referencia de "apuntador" no válida dentro de Internet Explorer. En determinadas condiciones se puede obtener acceso a una referencia de "apuntador" no válida después de haberse eliminado un objeto. En un ataque especialmente diseñado, al intentar tener acceso a un objeto liberado, se puede causar que Internet Explorer permita la ejecución remota de código.
Cabe mencionar que en su BLOG de Seguridad, McAfee asegura que esta vulnerabilidad fué una de aquellas que fueron explotadas en el reciente ataque a Google.
Las versiones afectadas son Internet Explorer 6 Service Pack 1 de Microsoft Windows 2000 Service Pack 4, Internet Explorer 6, Internet Explorer 7 e Internet Explorer 8 en los sistemas operativos Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7, y Windows Server 2008 R2.
Actualmente no existe ningún parche disponible para mitigar este problema. Sin embargo, hace unos minutos, Microsoft acaba de anunciar que el día de mañana (21 de Enero del 2010) publicará un boletín de seguridad extraordinario para corregir ésta vulnerabilidad.
Por el momento, se sugiere tomar en cuenta los siguientes factores publicados por Microsoft:
- La prevención de ejecución de datos (DEP) está habilitada de forma predeterminada en Internet Explorer 8 en los siguientes sistemas operativos de Windows: Windows XP Service Pack 3, Windows Vista Service Pack 1, Windows Vista Service Pack 2 y Windows 7.
- El modo protegido de Internet Explorer en Windows Vista y sistemas operativos posteriores de Windows limita la repercusión de la vulnerabilidad.
- En el caso de un ataque basado en web, el intruso podría alojar un sitio web que contuviera una página web para aprovechar esta vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan o alojan contenido o anuncios proporcionados por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. Por lo tanto, tendría que atraerlos al sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio web del atacante.
- Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema podrían verse menos afectados que aquellos que cuenten con derechos de usuario administrativos.
- De forma predeterminada, Internet Explorer en Windows Server 2003 y Windows Server 2008 se ejecuta en un modo restringido conocido como Configuración de seguridad mejorada. Este modo establece el nivel de seguridad para la zona Internet en Alto. Esto constituye un factor atenuante para sitios web que no ha agregado a la zona de sitios de confianza de Internet Explorer.
- De forma predeterminada, todas las versiones compatibles de Microsoft Outlook, Microsoft Outlook Express y Windows Mail abren los mensajes de correo electrónico HTML en la zona Sitios restringidos. La zona Sitios restringidos ayuda a mitigar los ataques que podrían aprovechar esta vulnerabilidad al impedir que se usen controles ActiveX y secuencias de comandos ActiveX cuando se leen mensajes de correo electrónico HTML. Sin embargo, si un usuario hace clic en un vínculo de un mensaje de correo electrónico, podría quedar vulnerable por la posibilidad de un ataque basado en Web.
Más información:
Documento informativo sobre seguridad de Microsoft (979352)
Una vulnerabilidad en Internet Explorer podría permitir la ejecución remota de código
http://www.microsoft.com/latam/technet/seguridad/alerta/979352.mspx
SANS ISC - 0-day vulnerability in Internet Explorer 6, 7 and 8
https://isc.sans.org/diary.html?storyid=7993
McAfee Security Insights Blog - Operation “Aurora” Hit Google, Others
http://siblog.mcafee.com/cto/operation-%E2%80%9Caurora%E2%80%9D-hit-google-others/
VITESSE Networks - 0-day en Internet Explorer: Detrás de los ataques a grandes compañías
http://www.vitessenetworks.com.mx/index.php?option=com_content&task=view&id=277&Itemid=38
Microsoft Security Bulletin Advance Notification for January 2010
http://www.microsoft.com/technet/security/bulletin/ms10-jan.mspx
Horacio Serna, CISSP
Esta dirección electrónica esta protegida contra spambots. Es necesario activar Javascript para visualizarla
VITESSE Networks