Zero
Day Initiative (ZDI) ha publicado cuatro
avisos por otras tantas vulnerabilidades que podría permitir a atacantes
remotos ejecutar código arbitrario en Internet Explorer.
Según los avisos de ZDI se
requiere la interacción del usuario para explotar las vulnerabilidades de tal
forma que el usuario debe visitar una página maliciosa o abrir un archivo
específicamente manipulado.
En la actualidad no existe parche
para estos problemas. ZDI divulga la información sobre ellos de acuerdo a su
política de divulgación de vulnerabilidades, que actualmente marca un límite de
120 días sin publicarse una actualización tras la comunicación responsable a la
compañía. Uno de los problemas (ZDI-15-359)
fue reportado durante el pasado Mobile Pw2Own, en noviembre del 2014.
Este primer problema, afecta
tanto a internet Explorer en versiones de escritorio y de Windows Phone, se
refiere a la forma en que el navegador procesa matrices que representan las
celdas de tablas HTML. Manipulando los elementos de un documento un atacante
puede forzar a un Internet Explorer a utilizar la memoria más allá del final de
una matriz de celdas HTML. Un atacante puede aprovechar esta vulnerabilidad
para ejecutar código bajo el contexto del proceso actual.
Otros problemas fueron reportados
en enero de este año, se refieren al uso de punteros después de su liberación
en el tratamiento de objetos CAttrArray, CCurrentStyle
y CTreePos.
Un atacante podría aprovechar estas vulnerabilidades para ejecutar código en el
contexto del proceso actual.
La recomendación pasa por el uso
de cuentas de usuario, zonas de seguridad, Preguntar antes de ejecutar Active
Scripting o desactivar Active Scripting y la instalación de EMET 5.2 (Enhanced
Mitigation Experience Toolkit). Esta herramienta combate las técnicas de
evasión de DEP y ASLR y otros métodos de "exploiting" conocidos. EMET es un programa de Microsoft
gratuito, (solo disponible en lenguaje ingles) sencillo de manejar y de gran
utilidad.
Más información:
una-al-dia (14/11/2014) El Mobile
Pwn2Own 2014 revela vulnerabilidades en iPhone 5S, Galaxy S5, LG Nexus 5,
Amazon Fire Phone y Windows Phone
(0Day) (Mobile Pwn2Own) Microsoft Internet
Explorer CTableLayout::AddRow Out-Of-Bounds Memory Access Vulnerability
(0Day) Microsoft Internet Explorer CAttrArray
Use-After-Free Remote Code Execution Vulnerability
(0Day) Microsoft Internet Explorer
CCurrentStyle Use-After-Free Remote Code Execution Vulnerability
(0Day) Microsoft Internet Explorer CTreePos
Use-After-Free Remote Code Execution Vulnerability
Antonio Ropero
Twitter: @aropero
No hay comentarios:
Publicar un comentario