ZDI informa de vulnerabilidad en Internet Explorer existente desde hace 6 meses

Según el aviso de ZDI se requiere la interacción del usuario para explotar la vulnerabilidad de tal forma que el usuario debe visitar una página maliciosa o abrir un archivo específicamente manipulado. El aviso no especifica las versiones afectadas del navegador

La vulnerabilidad (con CVE-2014-8967) reside en la forma en que Internet Explorer gestiona en memoria la vida de los objetos que representan los elementos HTML (objetos CElement). Si se aplica a una página un estilo CSS con display:run-in y se realizan determinadas manipulaciones un atacante podrá provocar que la cuenta de referencias de objeto caiga a cero antes de tiempo, lo que provoca que el objeto sea liberado. Internet Explorer continuará usando este objeto después de haber sido liberado. Un atacante podrá aprovechar esta vulnerabilidad para lograr la ejecución de código arbitrario.

ZDI reportó a Microsoft este problema el pasado 3 de junio. El 19 de noviembre ZDI informó a Microsoft que iba a proceder a la publicación de la información, al haber transcurrido más de 180 días desde el anuncio a la compañía. Cumpliendo de esta forma la política de divulgación de información de la propia ZDI (actualmente el límite está en 120 días).

La recomendación pasa por el uso de cuentas de usuario, zonas de seguridad, Preguntar antes de ejecutar Active Scripting o desactivar Active Scripting y la instalación de EMET 5.1 (Enhanced Mitigation Experience Toolkit). Esta herramienta combate las técnicas de evasión de DEP y ASLR y otros métodos de "exploiting" conocidos. EMET es un programa de Microsoft gratuito, (solo disponible en lenguaje ingles) sencillo de manejar y de gran utilidad. No está confirmado si entre las actualizaciones de seguridad que Microsoft publicará el próximo martes se incluirá una solución para esta vulnerabilidad.

Fuente: http://zerodayinitiative.com/advisories/ZDI-14-403/  http://unaaldia.hispasec.com/

Vulnerabilidad en Internet Explorer permite rastrear los movimientos del mouse.

Investigadores de Spider.io han descubierto un agujero de seguridad en Internet Explorer, que permite rastrear los movimientos del cursor del mouse, incluso si la ventana está inactiva, minimizada o fuera de foco. Las versiones de IE 6 a 10 se ven afectadas.

La vulnerabilidad es particularmente preocupante dado que desbarata el uso de teclados virtuales y teclados virtual, que se utilizan como defensa contra los keyloggers.

Spider.io ha publicado un breve video donde se demuestra el problema descubierto el primero de octubre e informanda a la empresa.

Microsoft Security Research Center reconoció el error, pero "no tiene planes inmediatos para remediar el problema", así que Spider.io la hizo pública el martes.

Al parecer, la vulnerabilidad está siendo activamente explotada por al menos dos compañías de análisis y rastreo web.

Para demostrar lo fácil que es explotar la vulnerabilidad, spider.io ha convertido el seguimiento en un juego, que consiste en obtener información a partir del uso de un teclado virtual, a través del seguimiento de los movimientos del mouse.

Los detalles técnicos de la vulnerabilidad tiene que ver con el modelo de eventos de IE, combinado con la capacidad para activar estos eventos manualmente a través del método fireEvent(), manipulable por JavaScript.

Fuente: http://blog.segu-info.com.ar/2012/12/vulnerabilidad-en-internet-explorer.html

Microsoft prepara un parche de emergencia de IE para contrarrestar exploit público.

Microsoft empezó a dejar trascender pistas claras sobre un parche de emergencia para Internet Explorer que sería liberado muy pronto para contrarrestar los ataques dirigidos y la publicación de un código de explotación para una vulnerabilidad "navegue y quede bajo control" en su navegador web insignia.

La actualización fuera de calendario será liberada una vez que la compañía quede satisfecha con que haya sido probado apropiadamente en todas la versiones afectadas de Windows. Esto podría suceder tan pronto como este mismo fin de semana.

[ VEA: Microsoft dice que Google fue hackeado con un 0 day de IE ]

La decisión de lanzar el parche de IE fuera del calendario programado de Microsoft de los martes de parches, viene después de la publicación de un código en la herramienta de ataque Metasploit.

El código Metasploit sólo funciona contra el Internet Explorer 6 pero hay afirmaciones en la comunidad de investigadores de seguridad sobre que la vulnerabilidad ha sido explotada exitosamente en IE7 (Windows Vista) así como también en IE6 y en Windows XP.

"[Tweet-dinodaizovi]:Y ahora mi exploit Aurora funciona

en IE7 en Vista además de IE6, IE7 en XP.

Recuerden niños, DEP no sirve de nada

si la aplicación no elige usarlo."

La vulnerabilidad fue descubierta durante los ataques de día cero contra varias compañías muy importantes de EEUU, incluyendo Google, Adobe y Juniper Networks. Durante esos ataques, malware de robo de información explotaron la falla contra sistemas que corrían IE6 en Windows XP.

[ Vea: Adobe confirma brecha 'sofisticada y coordinada' ]

Microsoft dice que los ataques actuales siguen "dirigidos a un número muy limitado de corporaciones" y solo son efectivos contra el Internet Explorer 6. Sin embargo, con el código del exploit ahora en Metasploit, los proveedores de malware pueden comenzar a juguetear con exploits ajustados para versiones mas nuevas del navegador.

Ahora, Microsoft está implorando a sus clientes para que actualicen inmediatamente a IE8. Una página de guía especial ha sido publicada para ofrecer información sobre como mitigar esta vulnerabilidad y evitar ataques.

El equipo de Microsoft’s Security Research & Defense (MSRD) ha creado y publicado una herramienta de un solo clic "Repárelo" ("Fix it") que permite a los usuarios habilitar DEP (Prevención de ejecución de Datos) en versiones más antiguas del navegador. DEP, una mitigación crucial anti-exploits, está habilitado por defecto solo en IE8.

Aquí un video que muestra el exploit en Metasploit funcionando:

The "Aurora" IE Exploit in Action from The Crew of Praetorian Prefect on Vimeo.

Fuente: http://blog.segu-info.com.ar/


Traducción: Raúl Batista - Segu-info
Autor: Ryan Naraine
Fuente: Blogs ZDnet

Saludos a Raúl.