Loading ...Malos momentos para Microsoft. Se acaba de detectar un nuevo 0 day en Windows que está siendo aprovechado activamente. Microsoft no ha reconocido todavÃa el fallo, pues ha sido “destapado” por terceras partes. El exploit es público, y parece que (como viene siendo habitual) muchas páginas legÃtimas comprometidas están sirviendo para infectar los sistemas.
El fallo en cuestión es un desbordamiento de memoria intermedia basado en pila en la función ‘MPEG2TuneRequest’ de la librerÃa msvidctl.dll. Un atacante remoto podrÃa aprovechar esto para ejecutar código arbitrario con los permisos del usuario bajo el que se ejecuta el navegador.
La única contramedida disponible es la activación del kill bit del control. Es posible hacerlo guardando este archivo con extensión .reg y ejecutarlo como administrador:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\
ActiveX Compatibility\{0955AC62-BF2E-4CBA-A2B9-A63F772D46CF}]
“Compatibility Flags”=dword:00000400
No se ha confirmado aún a qué versiones de Windows en concreto afecta. La detección del JavaScript que explota el fallo es bastante pobre todavÃa. Según VirusTotal, solo McAfee, AntiVir, VirusBuster y Microsoft lo reconocen (recordando siempre que esto puede cambiar en un entorno de escritorio). El ejecutable que descarga sà tiene un mejor ratio de detección.
Malos momentos para Microsoft, puesto que acumula dos 0 day sin solución por ahora. A finales de mayo Microsoft reconocÃa un problema de ejecución de código explotable a través de archivos de QuickTime. En el posterior ciclo de actualizaciones de junio, no solucionó el problema, y tampoco parece que vaya a sacar un parche fuera de ciclo. La diferencia con este nuevo 0 day en msvidct.dll es que en aquel caso, no habÃa información pública sobre cómo aprovecharlo. Esto hace mucho más peligroso este nuevo problema y sin duda hará que Microsoft actúe con mayor celeridad.
Opina sobre esta noticia:
http://www.hispasec...aaldia/3907/comentar
Más información:
29/05/2009 0 day en Microsoft DirectX
http://www.hispasec.com/unaaldia/3870
Sergio de los Santos
ssantos arroba hispasec.com
Fuente: http://hispasec.com
Entradas relacionadas:
- BoletÃn de seguridad de Microsoft de enero corrige ejecución remota de código a través de SMB en Windows
- Microsoft mejora la “autoejecución” de Windows 7. ¿Gracias, Conficker?
- Debido a Conficker, Microsoft recomienda reinstalar versiones desprotegidas de Windows