Zero Day Initiative (ZDI) ha publicado cuatro avisos por otras tantas vulnerabilidades que podría permitir a atacantes remotos ejecutar código arbitrario en Internet Explorer.
Según los avisos de ZDI se requiere la interacción del usuario para explotar las vulnerabilidades de tal forma que el usuario debe visitar una página maliciosa o abrir un archivo específicamente manipulado.
En la actualidad no existe parche para estos problemas. ZDI divulga la información sobre ellos de acuerdo a su política de divulgación de vulnerabilidades, que actualmente marca un límite de 120 días sin publicarse una actualización tras la comunicación responsable a la compañía. Uno de los problemas (ZDI-15-359) fue reportado durante el pasado Mobile Pw2Own, en noviembre del 2014.
Este primer problema, afecta tanto a internet Explorer en versiones de escritorio y de Windows Phone, se refiere a la forma en que el navegador procesa matrices que representan las celdas de tablas HTML. Manipulando los elementos de un documento un atacante puede forzar a un Internet Explorer a utilizar la memoria más allá del final de una matriz de celdas HTML. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código bajo el contexto del proceso actual.
Otros problemas fueron reportados en enero de este año, se refieren al uso de punteros después de su liberación en el tratamiento de objetos CAttrArray, CCurrentStyley CTreePos. Un atacante podría aprovechar estas vulnerabilidades para ejecutar código en el contexto del proceso actual.
La recomendación pasa por el uso de cuentas de usuario, zonas de seguridad, Preguntar antes de ejecutar Active Scripting o desactivar Active Scripting y la instalación de EMET 5.2 (Enhanced Mitigation Experience Toolkit). Esta herramienta combate las técnicas de evasión de DEP y ASLR y otros métodos de “exploiting” conocidos. EMET es un programa de Microsoft gratuito, (solo disponible en lenguaje ingles) sencillo de manejar y de gran utilidad.
Más información:
una-al-dia (14/11/2014) El Mobile Pwn2Own 2014 revela vulnerabilidades en iPhone 5S, Galaxy S5, LG Nexus 5, Amazon Fire Phone y Windows Phone
(0Day) (Mobile Pwn2Own) Microsoft Internet Explorer CTableLayout::AddRow Out-Of-Bounds Memory Access Vulnerability
(0Day) Microsoft Internet Explorer CAttrArray Use-After-Free Remote Code Execution Vulnerability
(0Day) Microsoft Internet Explorer CCurrentStyle Use-After-Free Remote Code Execution Vulnerability
(0Day) Microsoft Internet Explorer CTreePos Use-After-Free Remote Code Execution Vulnerability
Antonio Ropero
Twitter: @aropero
Deja un comentario