Boletín 00054 - 02/05/2006

==== 5.- Graves fallos de seguridad en Mozilla Firefox e Internet Explorer =====

Michal Zalewski ha descubierto un grave fallo para Internet Explorer. Se ha identificado una vulnerabilidad que puede ser aprovechada por atacantes para ejecutar código arbitrario. El fallo se debe a una corrupción en la memora a la hora de procesar scripts HTML manipulados. Si el código contiene etiquetas OBJECT especialmente formadas, el navegador dejaría de funcionar y, probablemente, quedaría en disposición de inyectar código y poder ser ejecutado.

Parece que hoy por hoy, el simple hecho de navegar por Internet puede resultar un deporte de riesgo, y esta vez no se puede apuntar con el dedo exclusivamente a los “sospechosos habituales”. La principal alternativa para la navegación, Mozilla Firefox acababa de solventar unas veinte vulnerabilidades con su última versión 1.5.0.2 del 13 de abril, cuando ya el día 24 se publica un nuevo fallo que provoca que el navegador deje de funcionar (se provoque denegación de servicio). En este caso, no está claro que el problema pueda resultar en la ejecución de código, aunque es probable.

La vulnerabilidad se debe a un error de manejo de Javascript en js320.dll y pcom_core.dll relacionado con la función iframe.contentWindow.focus. Un usuario remoto podría crear una página HTML especialmente manipulada tal que, al ser cargada, dispararía un desbordamiento de memoria intermedia (búfer). Existe prueba de concepto capaz de hacer que Firefox deje de funcionar abruptamente.

La popularidad del navegador de la fundación Mozilla se eleva cada día y, aunque el porcentaje aún se vea superado con creces por Internet Explorer, supone ya un jugoso número de usuarios en cifras totales. Firefox puede estar pagando ya el precio de la fama. Cabía esperar que ante el creciente interés por la aplicación, muchos más ojos lo escudriñaran. El hecho de que su código sea visible facilita el estudio e identificación de vulnerabilidades, además de encontrarse en una versión todavía “joven”.
Estos factores influirán sin duda en que, en lo sucesivo, sigan apareciendo errores.

Ante estas potenciales vulnerabilidades, habrá que estar atento a cómo y en cuánto tiempo serán resueltas. También a un factor externo al navegador pero
importante: la (por ahora escasa) cantidad de malware que phishers y demás fauna de Internet destinen específicamente a aprovecharse de estos hipotéticos fallos. Estas serán condiciones decisivas para seguir considerando a Firefox un software fiable y razonablemente seguro en el futuro.

Para ninguno de los dos errores mencionados existe parche oficial por el momento. Ante tan oscuro panorama, siempre quedarán alternativas como Konqueror y Opera, navegadores con una cantidad de vulnerabilidades
(descubiertas) tan pequeña como su porcentaje de uso. Ventajas de pertenecer a una minoría.

==== 9.- Múltiples vulnerabilidades en Ethereal ==== Se han identificado hasta 28 vulnerabilidades en Ethereal, que pueden ser aprovechadas por atacantes remotos para provocar denegaciones de servicio o comprometer los sistemas vulnerables.

Ethereal es una aplicación de auditoría orientada al análisis de tráfico en redes, que goza de mucha popularidad, ya que está disponible en múltiples plataformas, soporta una gran cantidad de protocolos y es de fácil manejo.

Los fallos encontrados se deben a bucles infinitos, off-by-one, y desbordamiento de búfer que afectan a los analizadores de protocolos H.248, UMA, X.509if, SRVLOC, H.245, COPS, ALCAP, AIM, RPC, DCERPC, ASN.1, SMB PIPE, BER, SNDCP, telnet, DCERPC NT, y PER, así como a la impresión OID printing, al contador de estadísticas, Network Instruments, y módulos NetXray/Windows Sniffer.

Estas vulnerabilidades pueden ser aprovechados para ejecutar código arbitrario o provocar denegaciones de servicio a través de ficheros de trazas malformados.

==== 12.- Vulnerabilidad en diálogos de seguridad ActiveX de Internet Explorer ====

Se ha identificado una vulnerabilidad en Microsoft Internet Explorer que puede ser aprovechada por atacantes para ejecutar código en un sistema afectado. El fallo se debe a una condición de carrera a la hora de mostrar y procesar diálogos de seguridad relativos a controles ActiveX. Esto podría ser aprovechado por atacantes remotos para manipular los diálogos si se incita al usuario a que visite una página especialmente manipulada, aunque requiere de cierta interactividad por parte del usuario.

La explotación exitosa de este problema puede provocar la instalación, de forma inadvertida para el usuario, de código ActiveX en el sistema. No existe parche oficial por el momento. Se recomienda no navegar por páginas no confiables.

Sun ha confirmado la existencia de una vulnerabilidad en equipos Sun Cobalt, que permitiría a un usuario local o remoto no privilegiado podría ejecutar código arbitrario con privilegios elevados o provocar una denegación de servicio.

Según el aviso de Sun, el problema reside en una vulnerabilidad en el demonio sendmail relacionada con el manejo de señales.

El problema afecta a:
RaQ4 con versiones de sendmail 8.10.2-C4stackguard o anteriores.
RaQ550 con versiones de sendmail 8.11.6-1C6stackguard o anteriores.
RaQXTR con versiones de sendmail 8.11.6-1C6stackguard o anteriores.

Aunque por el momento no existe parche oficial, se recomienda como contramedida bloquear el acceso al servicio afectado desde redes no confiables como Internet, o desactivar el demonio sendmail si no se hace uso de él. Se puede emplear un firewall o cualquier otro tipo de tecnología de filtrado de paquetes para bloquear los puertos apropiados.

==== 14.- Desbordamiento de búfer en ClamAV ====

Se ha anunciado la existencia de una vulnerabilidad en ClamAV, que podría llegar a explotarse por usuarios maliciosos para provocar denegaciones de servicio e incluso llegar a comprometer un sistema vulnerable. ClamAV es un motor antivirus de código abierto, empleado con cierta frecuencia en servidores de correo derivados de UNIX a modo de defensa perimetral primaria.

La vulnerabilidad reside concretamente en Freshclam, una utilidad de línea de comandos responsable de la descarga e instalación de las actualizaciones de firmas de virus. Una de sus características es un cliente HTTP que realiza descargas de archivos desde servidores web. La vulnerabilidad se debe a un desbordamiento de búfer en dicho cliente http cuando recibe cabeceras que exceden de 8 KB.

La explotación exitosa requires que se use Freshclam para descargar firmas de virus desde un servidor web espejo malicioso por ejemplo mediante envenenamiento DNS. Según el propio aviso de seguridad de ClaAv el problema no es fácil de explotar, debido a la diversidad de arquitecturas y plataformas cliente.