Cuartango demuestra que Microsoft puede instalar programas sin avisar

Juan Carlos García Cuartango, vuelve a protagonizar
nuestro servicio de noticias al descubrir una puerta
trasera en Internet Explorer por la que Microsoft
podría instalar cualquier aplicación sin permiso, ni
conocimiento, de los usuarios.
Cuartango ofrece una página web
(http://www.angelfire.com/ab/juan123/iengine.html)
en la que se puede encontrar una completa descripción
técnica y un ejemplo demostrativo de la puerta trasera
y del poder que ésta otorga a Microsoft. Como todos
los usuarios de Internet Explorer saben, cuando un
programa, un control ActiveX, o cualquier plugin similar
desea instalarse siempre se pide la autorización y
conformidad del usuario, que podrá aceptar o rechazar
dicha instalación.

Cuartango denuncia (y demuestra) que Microsoft se ha
dejado una puerta trasera por la cual puede realizar
cualquier instalación sin necesidad de solicitar la
conformidad del usuario. Basta con que el software se
encuentre firmado por Microsoft. Como explica el
ingeniero español en su página, la puerta trasera
también puede emplearse a través de mensajes html.
Exactamente el componente afectado es Install Engine
Control (Active Setup), un componente ActiveX pobremente
documentado según explica Cuartango.

Como el propio Juan Carlos nos comenta, “El componente
Active Setup requiere software firmado para actuar, el
truco de Microsoft es que el software firmado por ellos
se instala sin ningún tipo de aviso al usuario, al
contrario de lo que ocurre con el de restos de casas,
y sin necesidad de que se encuentre en la lista de
certificados y compañías en los que se confía”.

La demostración a la que hace referencia Cuartango
explica perfectamente la naturaleza del problema, y
puede ser reproducido sin ningún problema (ni peligro)
por cualquier usuario. En la demostración, en primer
lugar se puede instalar un certificado creado por el
propio Juan Carlos, tras lo cual se puede proceder a
ejecutar un programa firmado por dicho software, que
mostrará un aviso de instalación. Sin embargo, tras
ello, se puede comprobar como una llamada al instalador
de Explorer (software firmado por Microsoft), se
ejecuta sin preguntar de ninguna forma al usuario. En
este punto Juan Carlos apunta con una nota de humor
que podría instalar cualquier componente de Explorer,
pero que prefiere dejar nuestro sistema como está.

Más información:
Página demostración de Cuartango
Cinco Días