En
estos momentos dos fallos de seguridad
en Internet Explorer son públicos y están siendo aprovechados por atacantes.
Para uno existe solución y para otro, un remedio temporal. Además de disponer
de todos los detalles técnicos, se sabe que las dos vulnerabilidades han sido utilizadas
con fines muy concretos contra ciertas organizaciones.
La primera vulnerabilidad, CVE-2012-1875,
fue tratada y corregida (junto con otras 13) en el boletín MS12-037
del día 12 de junio. Se trata de un error al intentar acceder a objetos ya
borrados en Internet Explorer (relacionados con la misma ID) que podría causar
un acceso inválido a memoria y permitiría la ejecución de código con solo
visitar una web.
Cuando se publicó este parche,
Microsoft sabía que el fallo estaba siendo usado (al menos desde el 1 de
junio), pero en "ataques limitados".
En realidad siempre suelen decir lo mismo, aunque el ataque se produzca a gran
escala. De hecho, poco después se comprobó que la página de AmnistíaInternacional de Hong Kong había sido comprometida, e infectaba con malware a
quien la visitara, aprovechando este mismo fallo. Apenas unos días más tarde,
se hicieron públicos los detalles técnicos y por tanto, cualquiera puede aprovechar ya el fallo.
El mismo día que liberaron los
parches, hicieron pública una alerta sobre una
vulnerabilidad en el intérprete XML no resuelta. CVE-2012-1889,
de la que decía que se habían detectado ataques (esta vez, omitían la palabra
"limitados"). Afecta a de
Internet Explorer y Office. En vez de un parche, Microsoft publica un "FixIt", que soluciona temporalmenteel problema. Como curiosidad, los FixIt suelen "deshabilitar" el componente afectado, pero en este caso no. Deshabilitar
el XML Core Services entorpecería demasiado la navegación, por lo que en el
FixIt lo que se hace es prácticamente arreglar el problema, inicializando el
objeto que causa la vulnerabilidad siempre que Internet Explorer se lanza
(puesto que el fallo se da cuando se accede y aún no ha sido inicializado ese
objeto). Lo que no aclaran es si este FixIt soluciona también el problema en
Office.
Se sabe que esta vulnerabilidadparece haber sido utilizada de manera sofisticada contra usuarios muy concretos de Gmail.
En esta alerta recomiendan por
primera vez EMET como contramedida
eficaz para detener las técnicas más avanzadas de los exploits. En estemos momentos con su
versión 3 recién publicada, Microsoft la integra y reconoce aún más como una
herramienta indispensable para detener los exploits.
Más información:
Una vulnerabilidad en Microsoft
XML Core Services podría permitir la ejecución remota de código
MSXML: Fix it before fixing it
Google warns Gmail users of 'state-sponsored'
hacks
CVE-2012-1875 Exploited in the Wild - Part 1
(Trojan.Naid)
Sergio de los Santos
Twitter: @ssantosv
No hay comentarios:
Publicar un comentario