Microsoft, como de costumbre, ha publicado una nota para adelantar lo que
supondrá su actualización mensual de febrero. A grandes rasgos, anuncia
que el martes día 14 publicará siete parches de seguridad que afectan a
varios de sus productos, algunos de estos parches solventarán
vulnerabilidades clasificadas como críticas.
Una vulnerabilidad afecta a Microsoft Windows Media Player con severidad
calificada como crítica. Esta actualización no requerirá reinicio del
sistema y como de costumbre, será detectada por el Microsoft Baseline
Security Analyzer y por Enterprise Scanning Tool.
No se conocen detalles públicos sobre esta vulnerabilidad, con lo que es
muy posible que haya sido anunciada a Microsoft de forma “discreta”, y
no se darán detalles hasta el día de la publicación del parche.
Cuatro de los errores de seguridad afectarán a Microsoft Windows, como
mínimo una de ellos es calificado como crítico, y estos sí que
necesitarán de un reinicio del sistema para que tengan efecto. De estos
cuatro errores es posible imaginar al menos tres de ellos, pues durante
la semana han sido anunciadas por la propia Microsoft varios boletines
de seguridad confirmando la existencia de vulnerabilidades, sin
demasiados detalles, y anunciando que están estudiando la situación.
Por ejemplo, el 7 de febrero se confirmaba a través de un anuncio de
seguridad oficial de Microsoft, un fallo de diseño en Microsoft Windows
por el que usuarios locales pueden escalar privilegios. La salida a la
luz de este error está directamente relacionada con el estudio publicado
recientemente por Sudhakar Govindavajhala y Andrew W. Appel, y comentado
en un boletín anterior de “una-al-día”.
En este profuso ensayo se estudiaba en detalle los fallos de diseño del
control de acceso de Microsoft a los objetos de sistema. Los permisos
SERVICE_CHANGE_CONFIG en los servicios UPnP (Universal Plug and Play),
NetBT (Ayuda de NetBIOS sobre TCP/IP), ScardSvr (Tarjeta inteligente), y
SSDP (Servicio de descubrimientos SSDP ) podrían ser modificados para
que un usuario con pocos permisos (de forma local) ejecutase a través de
ellos cualquier programa bajo una cuenta con mayores privilegios. El
programa sustituido se ejecutaría al reiniciar el servicio.
El fallo afecta a Windows XP SP1 (en todos los servicios descritos) y a
Windows Server 2003 (sólo en el servicio NetBT). Los usuarios de Windows
XP SP2 y Windows Server 2003 SP1 parece que estarían a salvo. Existen
contramedidas para mitigar los errores a través de la modificación de
permisos en el registro y herramientas como sc.exe, y es importante
aplicarlas hasta la salida del parche porque, a raíz del estudio
publicado, se programó un exploit funcional al alcance de todos en
páginas web.
También el día 7 de febrero Microsoft reconoció una vulnerabilidad en
Internet Explorer, que podría llevar a la ejecución de código de forma
remota. Por el contenido del anuncio, se podría deducir que se trata del
mismo error cubierto en el boletín MS06-001 (912919) en el que se
publicaba un parche para la famosa vulnerabilidad WMF. Pero no, es otro
error distinto que sólo afecta a Internet Explorer 5.01 Service Pack 4
bajo Windows 2000 Service Pack 4 y a Internet Explorer 5.5 Service Pack
2 bajo Windows Millennium, lo que reduce en parte el campo de acción de
la vulnerabilidad. Como era de esperar, la función que hacía posible la
vulnerabilidad WMF ha dado pie a nuevos errores y fallos relacionados.
En un “una-al-día” anterior, también se hablaba de que “son muchos los
que, a raíz del incidente, han escudriñado el motor gráfico de Windows
hasta su última función, y es más que posible que en los próximos días
sigan apareciendo alertas de seguridad centradas en él, o que se
descubra que estas denegaciones de servicio ya expuestas, pueden
conducir a la ejecución de código”, aludiendo a pruebas de concepto que
se descubrieron (aun con el parche MS06-001 aplicado) y permitían
perpetrar denegaciones de servicio sobre el proceso explorer.exe.
Por último, uno de estos cuatro fallos de seguridad en Windows
anunciado, podría referirse a un error hecho público en una página
especializada. Consiste en una vulnerabilidad en Microsoft HTML Help
Workshop que permite la ejecución de código arbitrario en el sistema de
la víctima al abrir ficheros en formato HHP. El fallo se ha confirmado
en la versión 4.74.8702.0, pero otras podrían verse afectadas. Existe
exploit funcional disponible. Microsoft HTML Help Workshop es parte del
Microsoft HTML Help 1.4 SDK, un software diseñado para comprimir HTML,
gráficos y otros ficheros dentro de un formato estándar comprimido de
ayuda con extensión CHM.
Al proporcionar un campo “Contents file” muy largo a un fichero HHP, se
desborda una memoria intermedia y permite a un usuario remoto tener
control del registro EIP y por tanto ejecutar código en la máquina
víctima con sólo abrir un archivo en este formato. Afortunadamente, un
usuario medio no tiene por qué tener instalado este software, y una
instalación básica de Windows y, que se sepa, no sabría con qué programa
abrir ficheros en formato HPP.
El sexto fallo de seguridad anunciado afecta a Windows y a Office, con
una criticidad “importante”. Necesitará de reinicio de sistema. El
séptimo fallo afectará a Microsoft Office, y también está calificado
como “importante”.
El día 14 de febrero, Microsoft además actualizará su herramienta contra
el software espía o malintencionado, que se supone protegerá y eliminará
virus y malware en general encontrado durante el último mes. Entre ellos
seguro se encontrará (a buenas horas) el “antídoto” para “Kama Sutra”.
Desde octubre, mes en el que se publicaron nueve parches, no se habían
publicado tantos boletines de seguridad. Hay que tener en cuenta que
este anuncio preliminar no es definitivo y puede estar sujeto a
importantes cambios. Se hace público este adelanto para que los
administradores puedan planear convenientemente la estrategia de
actualización y ayudarles en la tarea de parcheado. También como medida
de precaución para tomar las decisiones oportunas de prevención sobre
los fallos de los que se conocen detalles importantes y son susceptibles
de ser aprovechados por atacantes.
Esperemos que entre estas actualizaciones veamos por fin parches para
algunas de las vulnerabilidades que podemos encontrar en la lista que
mantienen los prestigiosos investigadores de eEye, en la que se detallan
los agujeros de seguridad no solventados por los fabricantes, aun
habiéndoles sido notificados. En la lista, siempre según eEye,
encontramos cuatro alertas de Microsoft, anunciadas a la empresa,
críticas y no parcheadas. La más “veterana” con más de 220 días de
antigüedad.
ssantos@hispasec.com
Más información:
Possible Vulnerability in Windows Service ACLs
http://www.microsoft.com/technet/security/advisory/914457.mspx
Vulnerability in Internet Explorer Could Allow Remote Code Execution
http://www.microsoft.com/technet/security/advisory/913333.mspx
Microsoft HTML Help Workshop .hhp File Processing Buffer Overflow Lets
Remote User Execute Arbitrary Code
http://users.pandora.be/bratax/advisories/b008.html
eEye upcoming advisories
http://www.eeye.com/html/research/upcoming/index.html
Microsoft Windows y el control de acceso, al desnudo
http://www.hispasec.com/unaaldia/2660
Dos nuevos problemas encontrados en el formato WMF
http://www.hispasec.com/unaaldia/2636
Deja un comentario