Estamos por lo tanto ante un 0-day que solo ha tardado unas pocas horas en ver como se multiplicaban los exploits públicos capaces de infectar a un usuario con solo visitar un sitio web malicioso. Eso sin tener en cuenta la probable explotación semanas atrás de una pieza, que con tales características, cotiza muy alto en el mercado del malware.
La vulnerabilidad reside en el manejo de etiquetas XML que efectúa Internet Explorer. En los análisis de algunos exploits se ha hallado un vector común de ataque. Sin entrar en detalles, usa XML para incluir código HTML a la vez que provoca una corrupción de memoria que es aprovechada con javascript para volcar una cadena que contiene el shellcode, el cual descargará un binario que a su vez descarga componentes que ensamblan un troyano.
Microsoft ha informado que se encuentra trabajando en una solución y que en breve se podrá disponer de una actualización, probablemente será, sin no cambian las cosas, el boletín MS08-078. Como factor que ayude a mitigar el riesgo recomienda activar DEP (Data Execution Prevention), ya que por defecto se encuentra desactivado en Internet Explorer, para prevenir la ejecución de código en zonas de memoria no marcadas como ejecutables.
También se recomienda no ejecutar Internet Explorer con cuentas con privilegio de administrador y utilizar las zonas de Internet Explorer para prevenir la ejecución de javascript en páginas no confiables.
David García
dgarcia@hispasec.com
dgarcia@hispasec.com
Más información:
Microsoft
"Vulnerability in Internet Explorer Could Allow Remote Code Execution"
http://www.microsoft.com/technet/security/advisory/961051.mspx
Dancho Danchev
"IE7 XML parsing zero day exploited in the wild"
http://blogs.zdnet.com/security/?p=2283
BreakingPoint Labs
"Patch Tuesdays And Drive By Sundays"
http://www.breakingpointsystems.com/community/blog/patch-tuesdays-and-drive-by-sundays
