¡Urgente! Se ha detectado una vulnerabilidad muy crítica en todas las versiones de Windows desde 1993, un "0-day" en toda regla, que permite escalar privilegios y ejecutar código con permisos de sistema, equivalentes a efectos prácticos a los de administrador.
Por ahora no existe parche, y el exploit es fácilmente aprovechable por cualquiera. La causa es un fallo de diseño que persiste en todas las versiones de Windows de 32 bits desde 1993, por lo que afecta a Windows 2000, 2003, 2008, XP, Vista y 7.
El fallo se encuentra en el soporte "legacy" que permite ejecutar aplicaciones de 16 bits. Resulta que el sistema no valida correctamente el cambio de contexto y pila que se efectúa al al llamar al manejador #GP trap. Windows comete varios fallos, toma como ciertas varias suposiciones que son incorrectas, y el resultado es una puerta abierta al sistema con alfombra roja y luces de neón.
Con un código que va en contra de dichas suposiciones, un usuario malicioso puede realizar un cambio de contexto y ejecutar código con derechos de Sistema, que están por encima incluso del de los administradores.
Tavis Ormandy, el investigador que detectó el fallo, notificó a Microsoft en junio de 2009 de este problema, y al poco le confirmaron que estaba en lo cierto. En todo este tiempo, no se ha publicado parche al respecto, lo que ha motivado a Ormandy el hacer pública la vulnerabilidad para forzar a que desde Redmond se pongan las pilas.
Los principales afectados son aquellas empresas que mantienen los sistemas de sus empleados con privilegios limitados. Para usuarios domésticos, que habitualmente usan cuentas de administrador, la cosa no afecta demasiado, porque escalar privilegios no es necesario para poner en riesgo el sistema.
Aunque no hay parche, existe una sencilla vía de evitar la vulnerabilidad. Tan sólo hay que deshabilitar el soporte para aplicaciones de 16 bits, que en la mayor parte de los casos no supondrá problema alguno. Para ello, hay que habilitar "Impedir el acceso a aplicaciones de 16 bits" en la Consola de Políticas (gpedit.msc), dentro de "Configuración de equipo - Plantillas administrativas - Componentes de Windows - Compatibilidad de aplicación". Hay que forzar una actualización de las políticas en los sistemas que dependan del controlador de dominio para que se aplique el cambio.
Vía | Hispasec Sitio oficial | Grok.org.uk
Ver 30 comentarios
30 comentarios
james222
¿Otra vez toca hoy el fin del mundo? :-OOO ¡¡¡Jolines!!!
Voy a pedir, por favor, a alguien del público, que me mande un virus o un exploit o un algo, porque la verdá, por mucho que me esfuerzo y muchas páginas malas que visito, aún no he conseguido infectarme de nada. :(
Mi Win7 debe de estar estropeao o algo asín. ¡¡¡Grrrr!!!
Camelot
#34
Esta vez creo que el titular no es sensacionalista. Se ajusta a la verdad. El contenido tampoco lo veo tan exagerado, salvo que ignora que el código se recicla (la frase "...desde 1993" sobra).
Otro detalle es que muchas empresas todavía usan programas de 16bits... lo cual obliga de alguna manera a Microsoft a mantener el "legacy" a estas aplicaciones. Creo que Microsoft tampoco debe ver con buenos ojos mantener soporte para aplicaciones de la era jurásica de la informática, pero también deben tener claro que ese soporte es una de las razones por las cuales siguen firmemente instalados en los entornos corporativos.
Por otro lado, creo que es valido criticarle a Microsoft el porqué demora tanto en actualizar estas vulnerabilidades que le son reveladas con suficiente anticipación. Es algo incomprensible y frustrante. Incluso asumiendo que hayan calculado que el riesgo se minimiza porque las condiciones para que se produzca son limitadas ¿no han aprendido que noticias como éstas les dan municiones a sus detractores?.
Nunca me ha gustado el sistema de actualizaciones de seguridad de Microsoft, una empresa con tantos recursos debería sacar las actualizaciones de seguridad cuanto antes y no apegarse a un cronograma que deja a sus usuarios expuestos durante días y hasta semanas.
lesan
Tampoco veo que se pueda hablar de vulnerabilidad muy crítica. El invasor necesita de acceso físico para realizar el ataque, algo que al usuario común le va dar bastante igual. En el caso que el invasor quiera hacerse con un ordenador de manera física, lo va tener fácil, tanto por esta vulnerabilidad, como por la cantidad de software que existe para estos menesteres.
Los SO tienen sus vulnerabilidades en casos similares, donde en Linux, con un reinicio, podemos resetear la contraseña de root.
james222
Por lo que contáis los que sabéis, parece que estamos nuevamente ante un artículo sensacionalista con un titular desproporcionado, cuyo objetivo es decirnos por enésima vez que Microsoft es una porquería.
Enfines... parece que voy a poder dormir tranquilo, sin miedo a que el ordenador entre en crisis a media noche y me corra a guantazos, ¿no?
¡Menos mal!
viator
Claro que les afecta, ¿Cómo crees que las aplicaciones maliciosas escalan privilegios? Pues con cosas como estas.
nosenada
Y pasaran meses antes de salir el parche, eso si sale...
Malqpor
Pues algo totalmente normal, carente de cualquier cosa especial.
Como dicen por ahí arriba, me da que sobre 7/Vista no arrea, y además esta en el sistema de 16bits, que es mas viejo que el carrascal (pre-Win95) y que rara vez se usa. Creo que sería difícil encontrar un bug menos peligroso, solo falta que se haga noticia con uno que afecte a los discos de 5 1/4.
Yo creo que entre lo tocinos que son los amigos de Microsoft, y la dudosísima relevancia del bug en cuestión, se queda ahí para siempre.
Saludos
bulldozer
Vaya novedad! Windows un colador de mierda en todas sus versiones! No hay nada mas gratificante que usar un sistema basado en Unix.
Camelot
#9
Sigo tu comentario. Un pequeño detalle que estamos pasando por alto es que el atacante requiere acceso físico a la PC. Con acceso físico cualquier sistema puede ser vulnerado si se cuentan con los conocimientos adecuados. Eso para poner la cosas en contexto.
La solución no podría aplicarla el usuario de la PC dentro de un entorno corporativo. Porque de acuerdo a los supuestos de la situación se trata de una PC con privilegios limitados. La solución sólo puede aplicarla el o los administradores de sistemas.
Por reductio ad absurdum, si el usuario pudiera hacerlo directamente, el atacante con la misma facilidad podría volver a habilitar el soporte para aplicaciones para 16bits usando el mismo procedimiento aquí descrito... pero si tiene privilegios para hacer todos estos cambios ¿para qué quiere aplicar un exploit?.
Camelot
#37
La verdad es que por más que intento no entiendo tu comentario... pero si hay algo que no sepas hacer con Windows ¿por qué no visitas algún foro que te ayude a resolver tu problema? Uno como Forospyware, por ejemplo. Cuando uno tiene deseos de aprender puede conseguir cualquier cosa que se proponga.
Saludo.s
lesan
El bug este, ¿no es el mismo que aquel que no afectaba a Windows 7 RTM? ¿O es otro?
Me suena que por aquella época (verano 2009),hubo un problema gordo con cierto agujero, aunque no recuerdo exactamente.
Carlos Rocker
Hmm..interesante. por lo menos tiene "facil solucion" aunque el usuario no deberia hacer eso, el sistema deberia solucionarlo.
Mi pregunta es y las versiones de 64bits, tambien son afectadas?
nemilk
¿Pero esto no es lo que llevan haciendo los virus desde hace años, adueñarse del sistema como un usuario provilegiado?
De todos modos es un OWNED en toda regla. 17 años sin detectar este error XD ¿Y los que hacen antivirus es qué pensaban?
nemilk
#2 Por lo visto las versiones 64bits están a salvo, porque no incluyen el emulador de aplicaciones de 16 bits.
aama-88
17 años para darse cuenta?? 17 años llevamos usando una misma parte del codigo???
pero que coño???
lesan
20# MAC y su poco famoso borrado de datos de usuario. Como para olvidar pedazo BUG ;)
amj
Pues yo lo acabo de probar y si que funciona, por lo menos en windows xp, luego lo pruebo en un vista si tengo tiempo...!
lesan
31# Entonces esto es como el truco para hacerse root en Linux, donde es necesario el acceso físico al ordenador.
david
@Camelot
Deacuerdo con la mayoria de tu comentario.
¿Por que las actualizaciones cada determinado tiempo de parte de MS?, básicamente por que seria inmanejable por parte de los administradores que cada actualización que salga sea aplicada inmediatamente.
también depende de lo critico de la actualización.
en algunos casos sale inmediatamente. también es necesario notar que las pruebas que se realizan sobre las actualizaciones son exhaustivas para minimizar el error (que efectivamente puede ocurrir), mira otros modelos de actualización de programas y otros sistemas operativo y compara, posiblemente no sean tan óptimos.
Adrian Grayson
Tengo una duda existencial, ¿el que una aplicación sea de 16 bits es independiente de que la salida de color sea a 16 bits? Por ejemplo el juego Baldur's Gate II.
Rubenix
#4 Y de 8 bits... Sin ir más lejos, en muchos sitios aún usan el pneusim (1989) por ejemplo. Creo también que hasta hace poco se usaba windows 3.1 en sistemas embebidos como en ciertos cajeros.
phyramide
No entiendo muy bien el comportamiento de estos "angeles que nos cuidan". O sea que se dan cuenta del problema, lo avisan a Microsoft y cruzan los dedos para que lo solucionen.
Pasado un tiempo ven que no hacen mucho caso y entonces lo publican para que todo aquel maleante que no se había dado cuenta del problema, se ponga a trabajar en aprovecharlo.
Lo que yo haría es ir corriendo a las compañías de Antivirus y les vendía el descubrimiento. Pasado un tiempo lo publicamos y con bombo y platillo afirmamos que todos son vulnerables excepto los fieles a tal antivirus, el cual es el mejor de todos.
angel3071
#6 XD
dpunx
#24, que yo sepa el borrado de MacOSX era 'null... con lo que todo se iba al garete e irrecuperable a mas... MacOSX SL no es que sea tan seguro/estable... que no se dediquen a ir a por él no significa nada, pero bueno, por suerte todavía no me ha pasado nada en el mac "aunque casi me pilla un troyano si hubiese llegado a parchear el CS4"
#10 creo que el mas troll aquí eres tu queriendo empezar el juego
Respecto al bug, creo que son cosas que pasan al tener un SO que soporta tanto hard y esta obligado como quien dice a soportar su soft de versiones pasadas. Quizás deberían empezar a olvidarse de los 16bits ya que actualmente nadie suele programar aplicaciones para ello o sino... para eso están los OS antiguos.... es como usar Linux... un PC viejo es mas lógico ponerle un Debian 3 que no un Ubuntu 9.10 devorador de recursos comparado con el otro y así usar aplicaciones para su época. Pero bueno, ahí lo dejo.. cosas que pasan cono en el Kernel de Linux hace poco y también hubo otro en BSD, nada es perfecto
adriwan
Aun me acuerdo que buscando por la red una aplicación para remover un troyano leí lo de "El mejor antivirus: Ubuntu". En fin, es curioso que se haya heredado este bug des de 1993. Demuestra poco de los de Redmon :)
logoff
pasaros a MS-DOS!!! aunque es de 16 bits, no tiene estos problemas de vulnerabilidad, jaja!!
elusuarioadministrador
A ver chicos he estado informandome sobre el xploit y éstos son las dos cosas que Windows asume y no debería (bug):
1. Para configurar un equipo para VDM se requiere SeTcbPrivilege 2. El código en el ring3 (que es el espacio de usuario) no puede hacer selectores de código. Usando Virtual-8086 sí se puede. El código alojado en el ring3 ademas no puede falsificar el llamado trap frame.
Para eludir el punto 3 el hacker debe escribir en las direcciones de memoria del núcleo, que son siempre las mismas excepto en Windows Vista y Windows 7 que son aleatorizadas por el ASLR, que aleatoriza las direcciones del sistema para evitar éste tipo de ataques. Por lo tanto estos dos sistemas en mi opinión están a salvo.