Boletín 00079 - 14/12/2006

Apple ha publicado sus habituales parches acumulativos, en esta ocasión el séptimo del año y en el que corrige hasta 31 fallos de seguridad distintos que permiten escaladas de privilegios, denegaciones de servicio, ejecución de código remoto y local y saltos de restricciones de seguridad.

Alguno de los errores más graves:

Un fallo en los controladores inalámbricos Airport que afecta a muchos sistemas Mac y que permite ejecución de código remota. El fallo fue descubierto por HD Moore a principios de mes.

Varios errores en el servidor Apple Type Services que permiten a atacantes locales sobrescribir o crear ficheros arbitrarios con privilegios de sistema.

Existe también un desbordamiento de memoria intermedia basado en heap en el Finder a la hora de navegar por directorios que contengan un fichero .DS_Store especialmente manipulado. Esto puede permitir a atacantes locales ejecutar código con los privilegios del usuario Finder.

Un fallo en Installer, permite a atacantes instalar ciertos paquetes sin necesidad de credenciales de administrador.

Existe un desbordamiento de memoria intermedia en PPP (Point to Point
Protocol) a la hora de manejar tráfico PPPoE (Point to Point Protocol over Ethernet) que permite a atacantes en la red local ejecutar código arbitrario.

Security Framework permite a atacantes eludir varias restricciones de seguridad.

Se han publicado actualizaciones además para ftpd, CFNetwork, Online Certificate Status Protocol (OCSP), VPN, WebKit, gzip, ClamAV, OpenSSL, Perl, PHP, Samba…

Entre las numerosas correcciones, parece que no se han publicado demasiadas para combatir el particular acoso que “el mes de los fallos en el núcleo” está realizando contra los sistemas de Apple. La mayoría de los errores publicados por ahora, descubren problemas más o menos graves para su sistema operativo. Por lo tanto, incluso después de este parche acumulativo, a Apple le quedan todavía muchas vulnerabilidades que investigar.

Se recomienda actualizar a través de las herramientas automáticas o de la página oficial:

==== 3.- Ejecución de código a través de AcroPDF.dll en Acrobat y Adobe Reader 7 ====
Se han identificado múltiples vulnerabilidades en Adobe Reader y Acrobat que pueden ser aprovechadas por atacantes para ejecutar código arbitrario en el sistema víctima.

Los fallos se deben a una corrupción de memoria en el control ActiveX AcroPDF (AcroPDF.dll) que no maneja adecuadamente argumentos mal formados pasados a los métodos src, setPageMode, setLayoutMode, setNamedDest y LoadFile. Esto puede ser aprovechado por atacantes remotos para ejecutar código arbitrario si un usuario visita una página especialmente manipulada.

Las versiones afectadas son:

Adobe Reader versiones 7.0.0 a 7.0.8
Adobe Acrobat Standard versiones 7.0.0 a 7.0.8 Adobe Acrobat Professional versiones 7.0.0 a 7.0.8

Se recomienda establecer el kill bit para el CLSID {CA8A9780-280D-11CF-A24D-444553540000} o renombrar el fichero AcroPDF.dll.

==== 4.- Múltiples desbordamientos de búfer en IBM Tivoli Storage Manager 5.x ====
Se han descubierto diversas vulnerabilidades en algunas versiones de la rama 5.x de Tivoli Storage Manager de IBM que pueden ser explotadas por usuario maliciosos para provocar denegaciones de servicio y potencialmente para comprometer sistemas afectados.

* La primera se debe a un error a la hora de procesar el campo de lenguaje en la petición de identificación, concretamente cuando el primer byte de la cadena tiene el valor 18 hexadecimal. Esta circunstancia puede ser explotada para provocar desbordamientos de búfer al enviar un mensaje especialmente construido con un campo de lenguaje muy largo.
* Varios problemas de tamaño de variables se han localizado en el tratamiento de ciertos campos de mensajes de la función SmExecuteWdsfSession(). Esto puede ser explotado por un atacante para provocar desbordamientos de búfer al enviar mensajes maliciosos al sistema blanco del ataque.
* Un problema de tratamiento de tamaños de variables en el tratamiento de mensajes de registro abierto puede ser explotado para provocar desbordamientos de búfer.

La explotación con éxito de las vulnerabilidades podrían permitir a un atacante provocar la ejecución de código arbitrario.

Las versiones afectadas de Tivoli Storage Manager son las menores a la
5.2.9 y a la 5.3.4.

Se recomienda aplicar el parche ofrecido por IBM (APAR IC50347).

==== 5.- Vulnerabilidad en Microsoft Word puede permitir la ejecución remota de código ====
Microsoft ha publicado un aviso de seguridad para informar que se encuentra investigando una nueva vulnerabilidad, hecha publica en forma de “0 day” que afecta a Microsoft Word y podría permitir la ejecución remota de código arbitrario.

El problema afectaría a Microsoft Word 2000, Word 2002, Office Word 2003, Word Viewer 2003, Word 2004 para Mac y Word 2004 v. X para Mac.
También a Microsoft Works 2004, 2005 y 2006.

La vulnerabilidad está provocada por un error no especificado en el tratamiento de documentos Word y puede ser explotada para provocar una degradación de memoria, que puede conllevar una ejecución de código arbitrario.

Como es habitual, se recomienda no abrir documentos que provengan de fuentes desconocidas.

==== 6.- Escalada de privilegios en drivers de adaptadores de red Intel ====
Intel ha publicado actualizaciones para múltiples versiones de sus controladores de adaptadores de red. Esta publicación se debe al descubrimiento por parte de la compañía eEye de la existencia de una vulnerabilidad en todos sus drivers de adaptadoras de red PCI, PCI-X y PCIe que podrían permitir a atacantes locales realizar escaladas de privilegios.

Este problema afectaría a las siguientes versiones de drivers para adaptadores (según versión y plataforma):
* Windows: Intel PRO 10/100 8.x, PRO/1000 8.x, PRO/1000 PCIe 9.x
* Linux: Intel PRO 10/100 3.x, PRO/1000 7.x, PRO/10GbE 1.x
* UnixWare/SCO6: Intel PRO 10/100 4.x, PRO/1000 9.x

El problema se debe a la existencia de un error que puede ser explotado para provocar un desbordamiento de búfer al utilizar de forma incorrecta una llamada a cierta función no especificada por el fabricante. Esta circunstancia permitiría al atacante local ejecutar código arbitrario con privilegios a nivel de kernel.

==== 7.- Vulnerabilidades en SAP Internet Graphics Service 6 y 7 ====
Se han descubierto dos vulnerabilidades en SAP Internet Graphics Service (versiones 6.40 y 7.00) que pueden ser explotadas por usuarios maliciosos para acceder a información sensible, saltarse mecanismos de seguridad, manipular datos o provocar denegaciones de servicio.

* Un error de validación de entradas puede ser explotado para borrar cualquier archivo en el sistema utilizando una peticicón HTTP maliciosa.
* Algunas características no documentadas sin especificar pueden ser utilizadas para apagar el sistema, acceder a diversos archivos de configuración o realizar ciertas acciones no autorizadas.

Se recomienda aplicar los parches oficiales (ver SAP Notes 959358 y 965201).

==== 8.- Vulnerabilidad en Sun Java System Proxy y Web Server HTTP ====
Sun ha anunciado una vulnerabilidad que afecta a Sun Java System Proxy Server si se utiliza en conjunto con Sun Java System Application Server o Sun Java System Web Server, que podría permitir secuestrar sesiones, realizar ataques de tipo cross site scripting o eludir restricciones del cortafuegos.

El problema reside en que Sun Java System Proxy Server al emplearse junto con Sun Java System Application Server o Sun Java System Web Server, podría ser susceptible de ataques tipo “HTTP Request Smuggling”
(HRS) que podrían permitir a un usuario remoto no privilegiado envenenar cachés web. Un atacante podría emplear esto para secuestrar sesiones, realizar ataques de tipo cross site scripting o eludir restricciones del cortafuegos.

El fallo se basa en el menajo incorrecto de cabeceras que contengan las etiquetas “Transfer-Encoding: chunked” y “Content-Length”

Sun ha publicado las siguientes actualizaciones para solventar el problema:

==== 11.- Vulnerabilidad en listas de ASX de Microsoft Windows Media Player 10.x ====
Se ha encontrado una vulnerabilidad en Windows Media Player que pude ser aprovechada por atacantes para provocar una denegación de servicio o potencialmente ejecutar código arbitrario.

El fallo se debe a un error de límites a la hora de manejar etiquetas “REF HREF” en listas de reproducción ASX. Esto puede ser aprovechado para provocar un desbordamiento de memoria intermedia basado en heap a través de una cadena larga con una URL inválida.

Es posible que el problema permita la ejecución de código arbitrario.
El fallo ha sido confirmado en la versión 10.00.00.4036 aunque otras pueden verse afectadas, además cabe señalar que existe una prueba de concepto de la vulnerabilidad.

No existe parche oficial, aunque Microsoft ha conformado que se encuentra investigando el problema y los posibles vectores de ataque asociados. Se recomienda no abrir listas de reproducción no confiables.

==== 12.- Descubiertas tres vulnerabilidades “0 day” en productos Microsoft ====
Esta semana se han encontrado dos vulnerabilidades de tipo 0 day en Microsoft Word. Esto vuelve a posicionar a Office como el vector de ataque preferido para la infección de sistemas a través del aprovechamiento de vulnerabilidades hechas públicas cuando ya están siendo explotadas. También se ha publicado una prueba de concepto que permite ejecución de código a través de ficheros ASX de Windows Media Player.

El 6 de diciembre Microsoft publicaba un aviso oficial sobre un ataque detectado que se valía de una vulnerabilidad en Word. El problema afectaría a Microsoft Word 2000, 2002, 2003, Word Viewer 2003, Word 2004 para Mac y Word 2004 v. X para Mac. También a Microsoft Works 2004, 2005 y 2006.

La vulnerabilidad está provocada por un error no especificado en el tratamiento de documentos Word y puede ser aprovechada para causar una corrupción de memoria, que puede conllevar una ejecución de código arbitrario. Microsoft hablaba del descubrimiento de ataques limitados que podrían afectar de una forma muy concreta a pocas empresas u organizaciones contra las que iría dirigido específicamente. Aunque esto por ahora limite el alcance del problema, no es motivo para restar gravedad al fallo. Los detalles pueden ser cedidos, investigados o publicados en cualquier momento y afectar a un gran número de personas.

Nuevamente, el día 10 Microsoft alertaba de un nuevo problema en Word (al parecer descubierto por McAfee a través de una muestra infectada), sobre el que no daba detalles, pero que especificaba era distinto al encontrado unos días antes. En esta ocasión afectaba a Microsoft Word 2000, 2002, 2003 y Word Viewer 2003. Word 2007 no se ve afectado.
Microsoft hablaba de ataques aún más limitados. El fallo también permitiría la ejecución de código.

Entre estas dos alertas, el día siete, se encuentra una nueva vulnerabilidad en Windows Media Player que puede ser aprovechada por atacantes para provocar una denegación de servicio. El fallo en Windows Media Player se debe a un error de límites a la hora de manejar etiquetas “REF HREF” en listas de reproducción ASX. Esto puede ser aprovechado para provocar un desbordamiento de memoria intermedia basado en heap en el fichero WMVCORE.DLL a través de una cadena larga con una URL inválida. Es muy posible que el problema permita la ejecución de código arbitrario. Los ficheros ASX se abren automáticamente si son vistos a través del navegador, lo que puede facilitar el ataque aunque no se utilice el programa.

Para mitigar los problemas con Word, se recomienda como siempre no abrir archivos adjuntos en formato DOC no solicitados. Observando la cantidad de vulnerabilidades que están siendo aprovechadas de forma continua en este producto en concreto, también es recomendable utilizar cuando sea posible alternativas como OpenOffice. En el caso de la vulnerabilidad en Windows Media Player, se recomienda además desasociar la extensión ASX con el programa. En cualquier caso, también, disminuir los privilegios con los que se trabaja sobre el sistema para limitar el impacto de un posible ataque.

==== 14.- Siete boletines de seguridad de Microsoft en diciembre ====
Como cada segundo martes de mes, Microsoft ha publicado sus ya habituales boletines de seguridad. En esta ocasión, finaliza el año con siete nuevos boletines (MS06-072 al MS06-078).

Según la propia clasificación de Microsoft tres de los nuevos boletines presentan un nivel de gravedad “crítico”, mientras que los cuatro restantes reciben la calificación de “importante”.

Es por tanto, importante conocer la existencia de estas actualizaciones, evaluar el impacto de los problemas y aplicar las actualizaciones en la mayor brevedad posible. Este es un boletín de urgencia en el que describimos superficialmente cada uno de los nuevos boletines de seguridad de Microsoft. En los próximos días publicaremos otros boletines donde analizaremos más detalladamente las actualizaciones más importantes.

* MS06-072: Actualización acumulativa para Microsoft Internet Explorer que además soluciona cuatro nuevas vulnerabilidades que podrían permitir la ejecución remota de código arbitrario o la divulgación de información sensible. Según la calificación de Microsoft está calificado como “crítico”. Afecta a Internet Explorer 5.01 e Internet Explorer 6.

* MS06-073: Se trata de una actualización para evitar una vulnerabilidad en Visual Studio 2005 que permite ejecución remota de código. Está calificado como “crítico”.

* MS06-074: Destinado a solucionar una vulnerabilidad en SNMP que puede permitir a un atacante remoto ejecutar código arbitrario.
Según la calificación de Microsoft está calificado como “Importante”.
Afecta a Windows 2000, Windows XP y Windows Server 2003.

* MS06-075: Se trata de una actualización para Microsoft Windows debido a que se ha detectado una vulnerabilidad que pueden permitir la elevación de privilegios en el sistema. También recibe una calificación de “importante”. Afecta a Windows XP y Windows Server 2003.

* MS06-076: Actualización acumulativa para Outlook Express que además soluciona una nueva vulnerabilidad que podría permitir la ejecución remota de código arbitrario. Según la calificación de Microsoft está calificado como “importante”. Afecta a Outlook Express 5.5 y 6.

* MS06-077: En este boletín se anuncian los parches de actualización necesarios para solventar una vulnerabilidad en Remote Installation service (RIS). Afecta a Windows 2000. Está calificado como “importante”.

* MS06-078: Soluciona dos vulnerabilidades en Windows Media Player que pueden permitir a un atacante remoto la ejecución de código arbitrario.
Está calificado como “crítico”.

Las actualizaciones publicadas pueden descargarse a través de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche.