Dentro del conjunto de parches de Microsoft de julio, y del que
Hispasec ya realizó un adelanto en el una-al-día de ayer, se ha
anunciado la existencia de una vulnerabilidad en el Administrador
de tareas de diversas plataformas Windows. El problema, considerado
como crítico por Microsoft, permite la ejecución de código de forma
remota en los sistemas afectados.
La vulnerabilidad, que puede permitir la ejecución remota de código,
radica en la forma en la que se realiza la validación de nombres de
aplicaciones en el Administrador de tareas. Hay muchas formas en que
un sistema podría ser vulnerable a este ataque. Un atacante que explote
con éxito esta vulnerabilidad puede tomar el control total de un sistema
afectado, aunque hace falta interacción por parte del usuario para que
esto ocurra (el nivel de privilegios que conseguirá el atacante será el
mismo de la víctima del ataque).
La vulnerabilidad afecta a las plataformas Windows 2000, Windows XP y
sistemas Windows NT 4.0 con Internet Explorer 6 instalado.
Los sistemas operativos Windows proporcionan el servicio Administrador
de tares que está diseñado para ejecutar una aplicación concreta en un
momento de tiempo o fecha asignado. Cuando se añade una nueva tarea a
través del panel de control, se crea un archivo ‘.job’ en la carpeta
‘Tasks’ del directorio Windows con toda la información de la tarea.
A través de un archivo ‘.job’ maliciosamente creado, con los parámetros
demasiado largos, se provocará un desbordamiento de búfer y permitir al
atacante conseguir la ejecución de código (local o remota).
Dos aplicaciones que se han confirmado que pueden ser empleadas para
explotar este problema son Windows Explorer e Internet Explorer, cuando
se intente visualizar un recurso compartido de red que contenga el
archivo ‘.job’ malicioso. El compartir archivos a través de MSN
Messenger también se ha probado como una fuente de ataques efectiva. En
el caso de Internet Explorer, se puede explotar simplemente al
visualizar un sitio web que contenga un frame que apunte a un recurso
compartido de red que contenga el archivo ‘.job’.
Las direcciones para descargar el parche de actualización son las
siguientes (según versión e idioma):
Para Windows 2000:
Inglés:
http://download.microsoft.com/download/f/f/5/ff52e0cb-e04d-4dc0-9177-6272557cd6d4/Windows2000-KB841873-x86-ENU.EXE
Español:
http://download.microsoft.com/download/d/8/b/d8b72b07-1df5-4075-a0a2-8be1a12225b0/Windows2000-KB841873-x86-ESN.EXE
Para Windows XP:
Inglés:
http://download.microsoft.com/download/6/f/5/6f5e3bdb-69b6-43e7-9d27-9ce2e4687fef/WindowsXP-KB841873-x86-enu.exe
Español:
http://download.microsoft.com/download/6/2/a/62a7f424-50dd-4508-b768-1a10453a45e4/WindowsXP-KB841873-x86-esn.exe
Para Windows XP 64-Bit Edition
Inglés:
http://download.microsoft.com/download/4/2/5/425c7dec-67df-4000-9436-26cb23c06498/WindowsXP-KB841873-ia64-enu.exe
Para Internet Explorer 6 cuando se instala en SP6a de Windows NT 4.0:
Inglés:
http://download.microsoft.com/download/5/0/0/5004c98d-cacc-42d5-980c-b5c9efb7a627/IE-KB841873-WindowsNT4sp6-x86-ENU.exe
Español:
http://download.microsoft.com/download/c/5/d/c5db8e9b-5644-41d5-8303-ed2ffb152b3c/IE-KB841873-WindowsNT4sp6-x86-ESN.exe
antonior@hispasec.com
Más información:
Una vulnerabilidad del Administrador de tareas podría permitir la
ejecución de código
http://www.eu.microsoft.com/spain/technet/seguridad/boletines/MS04-022-IT.mspx
Microsoft Windows Task Scheduler ‘.job’ Stack Overflow
http://www.ngssoftware.com/advisories/mstaskjob.txt
una-al-dia (13/07/2004) Múltiples actualizaciones de seguridad para
Windows en julio
http://www.hispasec.com/unaaldia/2088
Deja una respuesta