Microsoft
ha alertado de
la existencia de una vulnerabilidad 0-day en todas las versiones
compatibles de Microsoft Windows (excepto Windows Server 2003). La
vulnerabilidad podría permitir la
ejecución remota de código si un usuario abre un archivo de Microsoft
Office especialmente diseñado que contenga un objeto OLE.
Según el aviso de Microsoft la
vulnerabilidad, con CVE-2014-6352,
está siendo explotada en ataques dirigidos a través de archivos PowerPoint. Aunque
en general el problema reside en el tratamiento de archivos Office específicamente
creados con objetos OLE.
Por otra parte, todo indica que en
los ataques observados se muestra la solicitud de consentimiento del UAC (User
Account Control). En función de los privilegios del usuario, se le pedirá
consentimiento para realizar la acción o la petición de contraseña para elevar
privilegios. El UAC está active por defecto en Vista y todas las nuevas versiones
de Windows.
Hasta la publicación de la
solución definitiva, que se distribuirá a través de su ciclo habitual de boletines
mensuales o en un boletín fuera de ciclo, Microsoft ha publicado una corrección temporal en
forma de "Fix it" que bloquea
el ataque, bautizada como "OLE
packager Shim Workaround". Este "Fix it" está disponible para Microsoft PowerPoint en sistemas
Windows 32-bit y x64, a excepción de ediciones de PowerPoint 64-bit es sistemas
Windows 8 y Windows 8.1 basados en x64. Hay que señalar que este parche no
corrige la vulnerabilidad sino que bloquea los posibles ataques que se han
encontrado activos.
Como otras contramedidas se
incluyen evitar la ejecución de archivos PowerPoint provenientes de fuentes
desconocidas. Microsoft
recomienda la instalación de EMET 5.0 (Enhanced Mitigation Experience
Toolkit) y activar "Attack Surface
Reduction". Esta herramienta combate las técnicas de evasión de DEP y
ASLR y otros métodos de "exploiting" conocidos. EMET 5.0 tiene
soporte oficial de Microsoft. EMET es un programa de Microsoft gratuito, (solo
disponible en lenguaje ingles) sencillo de manejar y de gran utilidad. En el
aviso de seguridad de Microsoft se explican detalladamente los pasos para su
adecuada configuración. En el aviso de
Microsoft se incluye un archivo de configuración adicional para EMET para
la protección contra este ataque.
Más información:
Microsoft Security Advisory 3010060
Vulnerability in Microsoft OLE Could Allow
Remote Code Execution
Microsoft security advisory: Vulnerability in
Microsoft OLE could allow remote code execution
una-al-dia (01/08/2014) Microsoft
publica EMET 5.0
Antonio Ropero
Twitter: @aropero
