24 jul. 2014

VUPEN mantuvo en secreto tres años una vulnerabilidad en IE

La empresa de seguridad francesa VUPEN ha revelado que mantuvieron en secreto una grave vulnerabilidad 0-Day en Internet Explorer (IE) durante al menos tres años, antes de revelarlo en el concurso de hackers Pwn2Own celebrado en marzo de este año.

Especialidad de VUPEN es descubrir vulnerabilidades de día cero y venderlas al mejor postor, típicamente a agencias de inteligencia y del gobierno y a la iniciativa Zero Day Initiative de HP.

La vulnerabilidad crítica afectada a las versiones 8, 9, 10 y 11 del navegador Internet Explorer y permite a los atacantes evitar remotamente la sandbox del modo protegido de IE y se puede aprovechar para obtener privilegios elevados en el sistema. La Sandbox es un mecanismo de seguridad utilizado para ejecutar una aplicación en un entorno restringido. Si un atacante es capaz de eludir este mecanismo, podría ejecutar código malintencionado en el equipo atacado.

Timeline de la vulnerabilidad

Según la revelación hecha por la empresa la semana pasada, la vulnerabilidad CVE-2014-2777 fue descubierta por la empresa el 12 de febrero de 2011 fue parcheada por Microsoft el mes pasado (MS14-03). En el medio pasaron tres años de 2011 a 2014 que Microsoft no había conocido la vulnerabilidad.

"La vulnerabilidad es causada debido a un manejo incorrecto de la direcciones cuando se llama a la función 'ShowSaveFileDialog()', que podría ser aprovechada por un proceso para escribir archivos en ubicaciones arbitrarias en el sistema y saltar la sandbox del modo protegido de IE" escribió la compañía.


VUPEN ha explotado varios objetivos en marzo en Pwn2Own incluyendo Chrome, Adobe Flash y Adobe Reader y Microsoft Internet Explorer, obteniendo ganancias por U$S400.000.

Fuente: The Hacker News

0 comentarios:

Publicar un comentario

Gracias por dejar un comentario en Segu-Info
Si vas a dejar una consulta, procura tener habilitado tu perfil en Blogger o deja una forma de contacto.

Gracias por comentar!