Microsoft deja visible el portapapeles en Internet

El último descubrimiento de Juan Carlos García Cuartango se centra en
la visibilidad pública del contenido del portapapeles de Windows cuando
se está conectado a Internet.
Juan Carlos Garcia Cuartango ha descubierto una nueva vulnerabilidad
que va mucho más lejos de la ya conocida serie de «agujeros de
Cuartango». En esta ocasión es el portapapeles de Windows el que deja
ver su contenido a través de Internet.

Según nos explica Cuartango las reglas de seguridad de Microsoft dejan
clara la prohibición del acceso al contenido del portapapeles a los
scripts de Internet Explorer a no ser que dicho contenido sea propiedad
del propio Explorer. Es decir, si un script realiza una operación de
pegado sobre una caja de entrada de texto la operación será realizada
con éxito sólo si los datos son copiados al portapapeles desde el
Explorer.

Pero Juan Carlos ha descubierto que existe un medio para evadir esta
protección a través del uso de algunos controles ActiveX incluidos en
MS Forms 2. El objeto ActiveX TexBox de Microsoft Froms 2.0 puede
realizar una operación de pegado sin ninguna restricción de seguridad.
De esta forma, los datos del portapapeles pueden ser transferidos a una
caja de entrada de formulario y enviados a un web malicioso. La
vulnerabilidad también puede ser explotada vía e-mail.

Los controles que provocan la vulnerabilidad no se incluyen con
Microsoft Explorer, pero aun así su distribución es grande ya que sí se
produce su instalación con Office 97, Visual Basic 5.0 y un gran número
de aplicaciones, por lo que afecta a una gran mayoría de los usuarios
de Internet Explorer.

En http://pages.whowhere.com/computers/cuartangojc/clipboard2.html
Cuartango demuestra los efectos de esta vulnerabilidad.
Además el script que permite hacer público el contenido del
portapapeles es muy sencillo y tan sólo ocupa cinco líneas de código:

function GetClipBoard()
{
tb.paste(); // Pegar sobre TextBox de MS Forms 2.0
document.forms(0).S1.value=tb.text; // Mueve el texto a la caja de texto
}

Microsoft ha publicado un parche, con soporte sobre él, para cubrir
esta vulnerabilidad. Recomendando a todos los usuarios su instalación
para la protección de los equipos. El parche no hace perder ninguna
funcionalidad de los controles ActiveX afectados, por lo que los
programadores que los hayan utilizado no se verán obligados a modificar
sus programas.

Se verán afectados por el problema los usuarios que tengan instaladas
cualquiera de las siguientes aplicaciones: Microsoft Office 97,
Microsot Outlook 98, Microsoft Project 98, Microsoft Visual Basic 5.0,
y cualquier producto de terceras partes que incluya Visual Basic for
Applications 5.0.

Para determinar la necesidad de instalar el parche de Microsoft se
pueden consultar las propiedades del archivo Fm20.dll del directorio
\windows\system. En caso de que la fecha sea anterior al 11 de enero de
1999 deberá realizarse la instalación del parche, que se puede recibir
de la dirección
http://officeupdate.microsoft.com/downloaddetails/fm2paste.htm.

Más información:
http://officeupdate.microsoft.com/downloaddetails/fm2paste.htm
http://support.microsoft.com/support/kb/articles/q214/7/57.asp
http://pages.whowhere.com/computers/cuartangojc/clipboard2.html