VUPEN mantuvo en secreto tres años una vulnerabilidad en IE
Especialidad de VUPEN es descubrir vulnerabilidades de día cero y venderlas al mejor postor, típicamente a agencias de inteligencia y del gobierno y a la iniciativa Zero Day Initiative de HP.
La vulnerabilidad crítica afectada a las versiones 8, 9, 10 y 11 del navegador Internet Explorer y permite a los atacantes evitar remotamente la sandbox del modo protegido de IE y se puede aprovechar para obtener privilegios elevados en el sistema. La Sandbox es un mecanismo de seguridad utilizado para ejecutar una aplicación en un entorno restringido. Si un atacante es capaz de eludir este mecanismo, podría ejecutar código malintencionado en el equipo atacado.
Timeline de la vulnerabilidad
Según la revelación hecha por la empresa la semana pasada, la vulnerabilidad CVE-2014-2777 fue descubierta por la empresa el 12 de febrero de 2011 fue parcheada por Microsoft el mes pasado (MS14-03). En el medio pasaron tres años de 2011 a 2014 que Microsoft no había conocido la vulnerabilidad.- 12 de febrero de 2011 - 0-Day en IE descubierta por VUPEN
- 13 de marzo de 2014 - VUPEN informa a Microsoft
- 11 de junio de 2014 - Parche de Microsoft lanzado públicamente.
"La vulnerabilidad es causada debido a un manejo incorrecto de la direcciones cuando se llama a la función 'ShowSaveFileDialog()', que podría ser aprovechada por un proceso para escribir archivos en ubicaciones arbitrarias en el sistema y saltar la sandbox del modo protegido de IE" escribió la compañía.
VUPEN ha explotado varios objetivos en marzo en Pwn2Own incluyendo Chrome, Adobe Flash y Adobe Reader y Microsoft Internet Explorer, obteniendo ganancias por U$S400.000.
Fuente: The Hacker News
0 Comments:
Publicar un comentario
Gracias por dejar un comentario en Segu-Info.
Gracias por comentar!