0-day en Internet Explorer 7 (y versiones anteriores)

Un día antes del segundo martes del mes de diciembre un mensaje en un foro chino hacía pública una vulnerabilidad en Internet Explorer 7 -se acredita descubierta al grupo chino 'KnownSec'-. No existe parche oficial disponible, no necesita interacción por parte del usuario y permite, si consigue explotar el fallo, ejecutar código arbitrario con los permisos del usuario.

Estamos por lo tanto ante un 0-day que solo ha tardado unas pocas horas en ver como se multiplicaban los exploits públicos capaces de infectar a un usuario con solo visitar un sitio web malicioso. Eso sin tener en cuenta la probable explotación semanas atrás de una pieza, que con tales características, cotiza muy alto en el mercado del malware.

La vulnerabilidad reside en el manejo de etiquetas XML que efectúa Internet Explorer. En los análisis de algunos exploits se ha hallado un vector común de ataque. Sin entrar en detalles, usa XML para incluir código HTML a la vez que provoca una corrupción de memoria que es aprovechada con javascript para volcar una cadena que contiene el shellcode, el cual descargará un binario que a su vez descarga componentes que ensamblan un troyano.

Microsoft ha informado que se encuentra trabajando en una solución y que en breve se podrá disponer de una actualización, probablemente será, sin no cambian las cosas, el boletín MS08-078. Como factor que ayude a mitigar el riesgo recomienda activar DEP (Data Execution Prevention), ya que por defecto se encuentra desactivado en Internet Explorer, para prevenir la ejecución de código en zonas de memoria no marcadas como ejecutables.

También se recomienda no ejecutar Internet Explorer con cuentas con privilegio de administrador y utilizar las zonas de Internet Explorer para prevenir la ejecución de javascript en páginas no confiables.

David García

Actualización de Segu-Info: Los sitios que explotan la vulnerabilidad se encuentran activos y en este momento el exploit descarga malware al equipo del sistema.
Actualmente se está insertando código javascript en sitios vulnerados para redirigir al usurio hacia otros javascript que explotan la vulnerabilidad y descargan malware orientados a robar información del usuario.

Para mitigar el riesgo por favor siga los pasos recomendados más arriba.

Fuentes:
http://www.hispasec.com/unaaldia/3701
http://www.microsoft.com/technet/security/advisory/961051.mspx
http://blogs.zdnet.com/security/?p=2283
http://www.breakingpointsystems.com/community/blog/patch-tuesdays-and-drive-by-sundays
http://isc.sans.org/diary.html?storyid=5458
http://isc.sans.org/diary.html?storyid=5464
http://isc.sans.org/diary.html?storyid=5470

Suscríbete a nuestro Boletín