Ejecución remota de código por medio de Safari en Windows Vista y XP

Ejecución remota de código por medio de Safari en Windows Vista y XP

Se ha encontrado un problema de seguridad en Microsoft Windows Vista y XP con el navegador Safari que podría ser aprovechado por un atacante remoto para ejecutar código arbitrario. Esto sería posible si un atacante explotase de forma conjunta un fallo en Safari que permite la descarga no solicitada de archivos junto con otra vulnerabilidad no especificada en Internet Explorer.

Safari es un popular navegador web desarrollado por Apple, incluido en las sucesivas versiones de Mac OS X y del que también existen versiones oficiales para Windows XP y Vista. Durante los últimos meses se ha estado ofreciendo la descarga de Safari junto con las actualizaciones periódicas de iTunes, el gestor de archivos multimedia de Apple.

El pasado 14 de Mayo, el investigador Nitesh Dhanjani, de Ernst & Young, publicó una entrada sobre una falta de control sobre las descargas en Safari, problema que bautizó como “Carpet Bomb”. En ella se mostraba que es posible la descarga de forma automática de un gran número de archivos en el escritorio, si se visita con Safari una web maliciosa que haga uso de un script CGI especialmente preparado. El navegador no incluye la opción para mostrar un cuadro de dialogo antes de iniciar una descarga usando este método, no pregunta si quieres bajar algo o no, simplemente descarga cualquier archivo en la carpeta elegida por defecto (normalmente el escritorio de Windows). Por lo tanto, un usuario que visite con Safari una página web especialmente manipulada podría efectuar la descarga no solicitada e inadvertida de un archivo malicioso. Un atacante podría “colar” cualquier tipo de malware en el escritorio de una víctima que, de ejecutarlo por accidente, podría causar el compromiso total del sistema.

Cuando Apple fue informado acerca de este supuesto fallo en Safari, sus investigadores no lo consideraron un problema de seguridad aunque añadieron que estudiarían la posibilidad de incluir un cuadro de diálogo en un futuro. Es cierto que no es una vulnerabilidad en el sentido más estricto, pero puede provocar que los usuarios de Safari en las plataformas Windows acaben con el escritorio repleto de malware.

Desde Microsoft se ha tomado el asunto mucho más en serio, de tal forma que el pasado día 30 de mayo publicó una advertencia de seguridad. En dicha nota se advierte contra una “amenaza combinada que permite la ejecución remota de código en todas las versiones de Windows XP y Vista que tengan Safari instalado”. Aunque se puntualiza que actualmente no se tiene conocimiento de ningún ataque que intente explotar dicha amenaza.

La segunda parte de esta “amenaza combinada”, y necesaria para que sea posible la ejecución remota de código sin interacción por parte del usuario, es una vulnerabilidad en Internet Explorer descubierta hace tiempo por el investigador israelí Aviv Raff. No se han desvelado más detalles acerca de la misma, pero Raff afirma que por medio de un ataque que aproveche de forma combinada de las dos vulnerabilidades se podría comprometer por completo un sistema vulnerable. Desde su blog confirma que está trabajando junto con Microsoft para solventar la vulnerabilidad y rehúsa publicar más datos hasta que no haya un parche disponible.

Microsoft sugiere como contramedida cambiar el lugar por defecto donde Safari descarga los archivos, pero Raff advierte que es insuficiente para evitar la amenaza y sugiere dejar de usar Safari hasta que se haya solventado el problema.

Fuente hispasec.com

Microsoft Security Advisory (953818): Blended Threat from Combined
Attack Using Apple’s Safari on the Windows Platform
http://www.microsoft.com/technet/security/advisory/953818.mspx

Nitesh Dhanjani: Safari Carpet Bomb
http://www.oreillynet.com/onlamp/blog/2008/05/safari_carpet_bomb.html

Aviv Raff: Safari pwns Internet Explorer
http://aviv.raffon.net/2008/05/31/SafariPwnsInternetExplorer.aspx

Microsoft publicará siete boletines de seguridad el próximo martes

Microsoft publicará siete boletines de seguridad el próximo martes

En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en junio se esperan siete boletines de seguridad, todos dedicados a Windows. Tres son de categoría crítica, o sea, que permiten la ejecución remota de código arbitrario, tres son importantes y uno de carácter moderado. 

 Si en mayo fueron cuatro boletines de seguridad los que salieron a la luz, este mes Microsoft prevé publicar siete actualizaciones el día diez de junio. Adicionalmente, y como viene siendo habitual, Microsoft publicará una actualización para Microsoft Windows Malicious Software Removal Tool. Además, se publicarán actualizaciones de alta prioridad no relacionadas con la seguridad.

En concreto, existe un problema con DirectX que afecta a todas las plataformas. Otro con Bluetooth sólo para Vista y XP. Estos son los graves. Con respecto a los importantes, existe un fallo en PGM, en Active Directory y en el servidor WINS. Pueden causar desde denegación de servicio hasta escalada de privilegios. El calificado como moderado modificará algunos kill bits de controles ActiveX.

LEER mas Hispasec.com