Ejecución de código en software distribuido con portátiles Acer

Tan Chew Keong ha encontrado una vulnerabilidad en el control ActiveX
LunchApp.APlunch que puede ser aprovechada por atacantes para ejecutar
código. El fallo podría afectar al sistema operativo que por defecto
viene instalado en muchos de los portátiles Acer.

LunchApp.APlunch forma parte del conjunto de aplicaciones propias de
Acer que se distribuyen por defecto en sus portátiles. El problema se
debe a que el control ActiveX incluye un método Run inseguro que ejecuta
cualquier archivo pasado por parámetros. Esto puede ser aprovechado para
ejecutar sin permiso cualquier programa que se encuentre en el sistema a
través de una página especialmente manipulada, si un usuario la visita y
ésta llama al control ActiveX.

Aunque Internet Explorer bloquea por defecto (en su zona de «Internet»)
el uso de ActiveX que no estén marcados como seguros, el problema es
que a pesar de su potencial peligrosidad, Acer firma este control como
«seguro para la inicialización» y «seguro para la automatización». Con
esta forma especial de firmar los controles, los fabricantes están
asegurando que sus ActiveX son seguros independientemente de cómo se
inicien y cómo se utilicen sus propiedades. Cuando el control es llamado
desde Internet Explorer 6 (y la página no está restringida a través de
las zonas), el navegador se basa en la firma del fabricante y lo ejecuta
sin pedir confirmación si está marcado de esta forma.

Además de esta firma «descuidada», el archivo OCX parece que data de
noviembre de 1998 y no ha sido actualizado desde entonces. Contiene
métodos como Run, Cmdline, FileName y Drive, que permiten crear un
sencillo ataque que ejecutaría cualquier programa (con parámetros)
alojado en el sistema. El descubridor adjunta (en su página) una prueba
de concepto bastante explícita que ejecuta la calculadora de Windows
con sólo visitar una web.

Se ha comprobado el problema en Acer TravelMate 4150, pero es bastante
probable que exista en muchos otros modelos. Por ejemplo, según el
descubridor, en el más actual Acer Aspire 5600 también está presente
el archivo, pero en este caso el sistema operativo por defecto en el
portátil ha sido actualizado con Internet Explorer 7 y éste no ejecuta
de forma «silenciosa» controles ActiveX firmados, pidiendo confirmación.

El fallo se ha encontrado en la versión 1.0.0.0 del archivo
lunchapp.ocx, aunque otras versiones podrían verse afectadas. Se
recomienda renombrar el archivo, borrar las ramas del registro que
marcan a este control como seguro o establecer el kill bit del control
para evitar que sea utilizado, a través de este archivo .reg, por
ejemplo:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX
Compatibility\{D9998BCF-7957-11D2-8FED-00606730D3AA}]
«Compatibility Flags»=dword:00000400

Se advierte de que el cambio podría acarrear problemas de funcionalidad
en aplicaciones distribuidas por Acer.

Más información:

About Acer Notebook LunchApp.APlunch ActiveX Control
http://vuln.sg/acerlunchapp-en.html