Malos momentos para Microsoft. Se acaba de detectar un nuevo 0 day en  Windows que está siendo aprovechado activamente. Microsoft no ha  reconocido todavía el fallo, pues ha sido “destapado” por terceras  partes. El exploit es público, y parece que (como viene siendo habitual)  muchas páginas legítimas comprometidas están sirviendo para infectar  los sistemas.
El fallo en cuestión es un desbordamiento de memoria intermedia basado  en pila en la función ‘MPEG2TuneRequest’ de la librería msvidctl.dll. Un  atacante remoto podría aprovechar esto para ejecutar código arbitrario  con los permisos del usuario bajo el que se ejecuta el navegador.

La única contramedida disponible es la activación del kill bit del  control. Es posible hacerlo guardando este archivo con extensión .reg  y ejecutarlo como administrador:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\
ActiveX Compatibility\{0955AC62-BF2E-4CBA-A2B9-A63F772D46CF}]
“Compatibility Flags”=dword:00000400

No se ha confirmado aún a qué versiones de Windows en concreto afecta.  La detección del JavaScript que explota el fallo es bastante pobre  todavía. Según VirusTotal, solo McAfee, AntiVir, VirusBuster y Microsoft  lo reconocen (recordando siempre que esto puede cambiar en un entorno  de escritorio). El ejecutable que descarga sí tiene un mejor ratio de  detección.

Malos momentos para Microsoft, puesto que acumula dos 0 day sin solución  por ahora. A finales de mayo Microsoft reconocía un problema de  ejecución de código explotable a través de archivos de QuickTime. En el  posterior ciclo de actualizaciones de junio, no solucionó el problema, y  tampoco parece que vaya a sacar un parche fuera de ciclo. La diferencia  con este nuevo 0 day en msvidct.dll es que en aquel caso, no había  información pública sobre cómo aprovecharlo. Esto hace mucho más  peligroso este nuevo problema y sin duda hará que Microsoft actúe  con mayor celeridad.

Opina sobre esta noticia:
http://www.hispasec...aaldia/3907/comentar

Más información:

29/05/2009 0 day en Microsoft DirectX
http://www.hispasec.com/unaaldia/3870

Sergio de los Santos
ssantos arroba hispasec.com

Fuente: http://hispasec.com

Entradas relacionadas

1. Vulnerabilidad en el kernel de Windows permite elevar privilegios
2. Microsoft mejora la “autoejecución” de Windows 7. ¿Gracias, Conficker?
3. Microsoft confirma lanzamiento de Windows 7 para la Navidad de 2009
4. Boletín de seguridad de Microsoft de enero corrige ejecución remota de código a través de SMB en Windows
5. Ejecución de comandos arbitrarios en Microsoft Windows XP y Windows Server 2003