miércoles 20 de setiembre de 2006

Vulnerabilidad crítica en VGX.DLL (Internet Explorer)

Por Angela Ruiz

Se ha detectado una vulnerabilidad en Microsoft Internet Explorer, ocasionada por un error del programa al manejar el lenguaje VML (Vector Markup Language), lo que ocasiona un desbordamiento de búfer.

VML es un lenguaje basado en XML para crear gráficos de vectores bidimensionales en un documento HTML o XML. VML utiliza etiquetas XML y hojas de estilos en cascada para crear y ubicar los gráficos, como círculos y cuadrados, en un documento, como una página Web. Estos gráficos pueden incluir colores y pueden editarse en varios programas de gráficos.

Internet Explorer soporta VML desde su versión 5.0, siendo vulnerables todas las versiones a partir de la mencionada.

Según reportes del US-CERT (United States Computer Emergency Readiness Team) y del propio Microsoft, la vulnerabilidad está siendo explotada a través de sitios web maliciosos, por medio de páginas HTML modificadas especialmente.

La explotación exitosa, puede permitir a un atacante remoto, la ejecución arbitraria de código en el sistema afectado, con los mismos privilegios del usuario actualmente conectado. Y en el mejor de los casos, puede provocar que el programa deje de responder (denegación de servicio).

El problema se produce en el componente VGX.DLL. En Windows XP SP2, la explotación de la vulnerabilidad no es sencilla, debido a la forma en que SP2 protege estas bibliotecas de errores provocados por desbordamientos de búfer.

Microsoft publicó un aviso de seguridad (Microsoft Security Advisory 925568), donde reconoce el problema, y da algunas pautas para proteger los equipos vulnerables hasta que se publique un parche (estimado para octubre).

Entre varias formas de eludir el problema, Microsoft recomienda desregistrar VGX.DLL.

Para ello, desde una ventana de comandos, o desde Inicio, Ejecutar, escriba la siguiente orden (respetando las comillas, y todo en una sola línea), o corte y pegue el contenido de la siguiente ventana:

NOTA: Lo hemos adaptado para las versiones en español de Windows. Si "Archivos de programas" no está en la unidad C, cambie las instrucciones de acuerdo a la ubicación real de dicha carpeta.

Si la operación es exitosa, le será mostrada una ventana con el mensaje "DllUnregisterServer en C:\Archivos de programa\Archivos comunes\Microsoft Shared\VGX\vgx.dll se realizó con éxito".

Si desea volver a registrar VGX.DLL, solo escriba la siguiente orden (con las comillas, y en una sola línea), o corte y pegue el contenido de la siguiente ventana:

Se mostrará el mensaje "DllRegisterServer en C:\Archivos de programa\Archivos comunes\Microsoft Shared\VGX\vgx.dll se realizó con éxito".

Microsoft también recomienda mantener actualizados los antivirus, no seguir enlaces no solicitados, y configurar el programa de correo para leer los mensajes sin formato (en el Outlook Express marcar la opción "Leer todos los mensajes como texto sin formato" en Opciones, Leer).

Sistemas operativos vulnerables:

- Microsoft Windows XP
- Microsoft Windows Server 2003
- Microsoft Windows 2000

Windows 98 y Me pueden ser vulnerables, pero ya no son soportados por Microsoft.

Productos vulnerables:

- Microsoft Internet Explorer 5.01 y superior

Fuente: vsantivirus

Sitios pornográficos explotan vulnerabilidad de Internet Explorer "22-09-2006" (Vulnerabilidad mencionada en el tema que esta arriba)

Por Moisés López

El fallo de seguridad, ocasionado por un error del navegador de Microsoft al manejar el lenguaje VML (Vector Markup Language), fue divulgado la pasada semana cuando se descubrió el malware que explotaba dicho defecto en un sitio pornográfico ruso.

La vulnerabilidad, descubierta por investigadores de Sunbelt Software, fue confirmada por Microsoft.

Aunque los primeros exploits se encontraron en unos pocos sitios rusos, ha empezado a circular un kit de herramientas denominado "Web Attacker", que se vende en Internet por un precio que ronda entre veinte y trescientos dólares.

Estas herramientas permiten construir enlaces maliciosos en cualquier sitio web o correo electrónico divulgado en forma de spam, para que exploten esta vulnerabilidad. Usando ese software, los usuarios malintencionados podrían descargar troyanos, gusanos y keyloggers (capturadores de teclado), dentro de los ordenadores vulnerables.

"Cualquier cosa se podría poner allí dentro. Apenas un simple troyano, o todo un conjunto de porquerías," dijo Alex Eckelberry, presidente de Sunbelt.

Microsoft también ha confirmado que la vulnerabilidad está siendo explotada activamente por malwares que "podrían permitir que un atacante ejecute código arbitrario en el sistema del usuario".

"Hemos estado trabajando en una actualización que trate esta vulnerabilidad y nuestra meta es hacer que la misma esté disponible para las actualizaciones de octubre, o antes si vemos ataques extensos," escribió un representante en el blog de seguridad de la compañía.

Un aviso de seguridad publicado por el CERT, el Computer Emergency Response Team, dijo que el agujero está siendo explotado activamente a través de páginas Web o vía e-mail, permitiendo que un atacante remoto ejecute código de forma arbitraria, con los mismos privilegios del usuario conectado en el momento del ataque.

Los expertos sugieren que hasta que no sea publicado el parche correspondiente, los usuarios se abstengan de seguir enlaces no solicitados y que lean los mensajes de correo electrónico en formato de texto plano.

Microsoft ha proporcionado algunas pautas para disminuir los riesgos de esta vulnerabilidad en su sitio sobre seguridad, destinadas a usuarios de Internet Explorer. La más aconsejable de ellas, es la de desregistrar el elemento que provoca el fallo (VGX.DLL), tal como se explica en el siguiente enlace de VSAntivirus.com:

Vulnerabilidad crítica en VGX.DLL (Internet Explorer))

* Relacionados:

Microsoft Security Advisory (925568)
Vulnerability in Vector Markup Language Could Allow Remote Code Execution
Microsoft Security Advisory (925568): Vulnerability in Vector Markup Language Could Allow Remote Code Execution

Vulnerability Note VU#416092
Microsoft Internet Explorer VML stack buffer overflow
US-CERT Vulnerability Note VU#416092

Fuente: enciclopediavirus