Como un parche oficial todavía no está disponible, Microsoft ha lanzado una herramienta temporal Fix-ix para con ella cerrar una vulnerabilidad de seguridad crítica “0 day” en su navegador web Internet Explorer. De acuerdo con un post de  Yunsun Wee, Director de Trustworthy Computing de Microsoft, en el blog oficial de Microsoft Security Response Center (en inglés), la compañía tiene previsto distribuir una actualización acumulativa para abordar la vulnerabilidad a través de Windows Update el viernes 21 de Septiembre.

La vulnerabilidad ya está siendo activamente explotada por los ciberdelincuentes para infectar computadoras con malware, todos los usuarios que dependan del navegador web Internet Explorer se les recomienda no esperar a que el parche sea liberado y utilizar en el siguiente enlace la solución Fix-it 50939 (para equipos que ejecutan sistemas operativos de 64 bit, solo aplica a las versiones 32 bit de Internet Explorer), para proteger sus sistemas tan pronto como sea posible.

Para utilizar la solución Fix-it haga clic en el enlace Fix this problem en el ícono debajo de Enable “Microsoft Fix it 50939”, según hemos marcado en la captura de pantalla de este artículo para que descargue a su computadora el software. Después lo localiza donde lo descargo y para aplicar la solución hace doble clic sobre la misma. Se les recuerda que para aplicarla debe tener derechos de Administrador.

Como otra medida a aplicar, los usuarios pueden, por supuesto, simplemente cambiar a un navegador web alternativo, según lo recomendado a principios de esta semana por la Oficina Federal Alemana para la Seguridad de la Información (BSI). El problema afecta a las versiones de Internet Explorer desde la 6 a la 9 en todas las versiones actualmente soportadas de sistemas operativos Windows, Internet Explorer 10, preinstalado en el próximo sistema operativo de Microsoft, Windows 8, no se ve afectado.

El agujero crítico puede ser utilizado para infectar los sistemas con código malicioso cuando la víctima visita una página web especialmente diseñada. El código para explotar la vulnerabilidad se puede ocultar casi en cualquier lugar: los criminales a menudo propagan malware mediante, por ejemplo, poniendo en peligro los sitios web de buena reputación para infectar los sistemas de los visitantes. Además de los delincuentes profesionales, casi cualquier persona puede explotar la vulnerabilidad para sus propios fines con un módulo para el framework de ataque Metasploit, el cual ya está disponible.

El problema está relacionado con un agujero “use-after-free” en la función CMshtmlEd :: exec (). En el método actual de ataque, una página web especialmente preparada ejecuta un applet de Flash que utiliza la técnica del relleno de la memoria heap mediante NOPs (heap spray) para distribuir shellcode en la memoria del sistema. A continuación, vuelve a cargar un iframe que utiliza la vulnerabilidad de Internet Explorer para ejecutar el shellcode.

Traducción: Velcro

The H Security Blog