En estos momentos dos fallos de seguridad en Internet Explorer son públicos y están siendo aprovechados por atacantes. Para uno existe solución y para otro, un remedio temporal. Además de disponer de todos los detalles técnicos, se sabe que las dos vulnerabilidades han sido utilizadas con fines muy concretos contra ciertas organizaciones.

Autor:  Sergio de los Santos | Fuente: Opina sobre esta noticia: http://unaaldia.hispasec.com/2012/06/dos-vulnerabilidades-en-internet.html

La primera vulnerabilidad, CVE-2012-1875, fue tratada y corregida (junto con otras 13) en el boletín MS12-037 del día 12 de junio. Se trata de un error al intentar acceder a objetos ya borrados en Internet Explorer (relacionados con la misma ID) que podría causar un acceso inválido a memoria y permitiría la ejecución de código con solo visitar una web.

Cuando se publicó este parche, Microsoft sabía que el fallo estaba siendo usado (al menos desde el 1 de junio), pero en “ataques limitados”. En realidad siempre suelen decir lo mismo, aunque el ataque se produzca a gran escala. De hecho, poco después se comprobó que la página de Amnistía Internacional de Hong Kong había sido comprometida, e infectaba con malware a quien la visitara, aprovechando este mismo
fallo. Apenas unos días más tarde, se hicieron públicos los detalles técnicos y por tanto, cualquiera puede aprovechar ya el fallo.

El mismo día que liberaron los parches, hicieron pública una alerta sobre una vulnerabilidad en el intérprete XML no resuelta. CVE-2012-1889, de la que decía que se habían detectado ataques (esta
vez, omitían la palabra “limitados”). Afecta a de Internet Explorer y Office. En vez de un parche, Microsoft publica un “FixIt”, que soluciona temporalmente el problema. Como curiosidad, los FixIt suelen “deshabilitar” el componente afectado, pero en este caso no.

Deshabilitar el XML Core Services entorpecería demasiado la navegación, por lo que en el FixIt lo que se hace es prácticamente arreglar el problema, inicializando el objeto que causa la vulnerabilidad siempre que Internet Explorer se lanza (puesto que el fallo se da cuando se accede y aún no ha sido inicializado ese objeto). Lo que no aclaran es si este FixIt soluciona también el problema en Office.

Se sabe que esta vulnerabilidad parece haber sido utilizada de manera sofisticada contra usuarios muy concretos de Gmail.

En esta alerta recomiendan por primera vez EMET como contramedida eficaz para detener la eficacia de los exploits. En estemos momentos con su versión 3 recién publicada, Microsoft la integra y reconoce aún más como una herramienta indispensable para detener los exploits.

Más información:

Una vulnerabilidad en Microsoft XML Core Services podría permitir la ejecución remota de código
http://technet.microsoft.com/es-es/security/advisory/2719615

MSXML: Fix it before fixing it
http://blogs.technet.com/b/srd/archive/2012/06/13/msxml-fix-it-before-fixing-it.aspx

Google warns Gmail users of ‘state-sponsored’ hacks
http://www.computerworlduk.com/news/security/3361989/google-warns-gmail-users-of-state-sponsored-hacks/

CVE-2012-1875 Exploited in the Wild – Part 1 (Trojan.Naid)
http://www.symantec.com/connect/blogs/cve-2012-1875-exploited-wild-part-1-trojannaid

Sergio de los Santos
ssantos@hispasec.com
Twitter: @ssantosv

Fox TroopSeguridadBrowser,IE,NavegadoresEn estos momentos dos fallos de seguridad en Internet Explorer son públicos y están siendo aprovechados por atacantes. Para uno existe solución y para otro, un remedio temporal. Además de disponer de todos los detalles técnicos, se sabe que las dos vulnerabilidades han sido utilizadas con fines muy concretos...comunidad virtual para compartir y difundir: información, conocimiento y experiencias relacionadas con las Tecnologías de la Información y la Comunicación.