Grave vulnerabilidad sin parche en Internet Explorer está siendo aprovechada por atacantes

via: HISPASEC.com
 ----------------------------------------------------------------

Se ha descubierto un nuevo exploit que aprovecha una vulnerabilidad 
crítica en Internet Explorer. Permite la ejecución remota de código 
arbitrario y que está siendo usada por atacantes. Afecta a las versiones 
7, 8 y 9 del navegador en todas las versiones del sistema operativo. 

Se ha descubierto una vulnerabilidad en Internet Explorer, previamente 
desconocida y que está siendo aprovechada por atacantes. Uno de los 
datos más curiosos es cómo fue descubierto por el investigador Eric 
Romang (@eromang), y que indica que este 0-day podría estar relacionado 
por los mismos autores de la grave vulnerabilidad en Java de hace solo 
unas semanas. Después del descubrimiento del problema en Java, Eric 
Romang monitorizaba regularmente algunos de los servidores desde donde 
se sabía que se distribuía aquel exploit y relacionados con sus 
desarrolladores. El día 14 de septiembre detectó que se había creado 
nuevo directorio en uno de ellos donde se alojaba el código para 
aprovechar una nueva vulnerabilidad, que resultó ser esta de Internet 
Explorer. 

El fallo permite la ejecución remota de código a través de una 
vulnerabilidad en la función execCommand utilizando referencias no 
válidas a puntero ya liberado (use-after-free). En el código del exploit 
esto se consigue mediante la creación de un objeto 'CMshtmlEd', su 
eliminación y posterior uso de la zona de memoria mediante 
CMshtmlEd::Exec. Una vez explotada la vulnerabilidad, se ejecuta el 
payload mediante la técnica del relleno de la memoria heap mediante NOPs 
(heap spray) y del propio shellcode para conseguir su ejecución. Elude 
DEP y ASLR con técnicas ROP y después carga un troyano del servidor 
malicioso. 

En el siguiente vídeo se puede observar todo el proceso, llevado a cabo 
en un servidor comprometido donde se alojaban tanto el exploit de IE 
como el conocido RAT Poison Ivy, encargado de controlar a la potencial 
víctima. 

http://youtu.be/_w8XCwdw5FI 

El diagrama de flujo del ataque sería el siguiente: 

http://2.bp.blogspot.com/-G-HWQ42_uhQ/UFggDIPO3qI/AAAAAAAABFM/Aa4udfFFcSQ/s1600/diagram.png

El exploit (Protect.html) inicialmente no era detectado por ninguna casa 
antivirus: 

http://3.bp.blogspot.com/-rUHfJBC9P3w/UFggOJFjNkI/AAAAAAAABFU/H0d8nhsmYnk/s1600/VT_nodetection.png

Aunque finalmente Microsoft ha actualizado sus definiciones de antivirus 
identificando la familia del exploit como Dufmoh. 

http://4.bp.blogspot.com/-QmVIgO8X9vA/UFggfVFw0qI/AAAAAAAABFc/9kM2RZ9hb18/s1600/Dufmoh_detection.png

Este 0-day está siendo ampliamente explotado tras la publicación del 
script para Metasploit. Aunque el módulo de Metasploit está creado para 
Internet Explorer 8, se podría modificar para otras versiones. 

http://postimage.org/image/zf4qdbmuf 

No existe parche o contramedida oficial por parte de Microsoft, por lo 
que se recomienda el uso de otros navegadores hasta que sea publicada 
una actualización. EMET correctamente configurado, podría permitir 
detener el vector de ataque. 

Opina sobre esta noticia: 
http://unaaldia.hispasec.com/2012/09/grave-vulnerabilidad-sin-parche-en.html#comments

Más información:

Zero-Day Season Is Really Not Over Yet
http://eromang.zataz.com/2012/09/16/zero-day-season-is-really-not-over-yet/

IE execCommand fuction Use after free Vulnerability 0day en
http://blog.vulnhunt.com/index.php/2012/09/17/ie-execcommand-fuction-use-a
fter-free-vulnerability-0day_en/

metasploit: Microsoft Internet Explorer execCommand Use-After-Free
Vulnerability
http://dev.metasploit.com/redmine/projects/framework/repository/revisions/aac41e91fd38f99
238971892d61ead4cfbedabb4/entry/modules/exploits/windows/browser/ie_execcommand_uaf.rb

Mmm, Smells Like 0day
http://blog.beyondtrust.com/bid/89587/Mmm-Smells-Like-0day

New Internet Explorer zero day being exploited in the wild
http://labs.alienvault.com/labs/index.php/2012/new-internet-explorer-zero-day-being-exploited-
in-the-wild

Exploit:Win32/Dufmoh.B
http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?name=Exploit%3aWin32%2fDuf
moh.B&threatid=2147663168

Microsoft Internet Explorer execCommand Use-After-Free Vulnerability
http://dev.metasploit.com/redmine/projects/framework/repository/revisions/aac41e91fd38f99238971892d6
1ead4cfbedabb4/entry/modules/exploits/windows/browser/ie_execcommand_uaf.rb

2a2e2efffa382663ba10c492f407dda8a686a777858692d073712d1cc9c5f265
https://www.virustotal.com/file/2a2e2efffa382663ba10c492f407dda8a686a777858692d073712d1cc9c5f265/an
alysis/1347710701/

Jose Mesa

Sergio de los Santos

@ssantosv

Publicada de la versión 1.0.7 de Wireshark

Wireshark.org ha publicado la versión 1.0.7 de Wireshark que aporta mejoras de rendimiento, seguridad y estabilidad.

 Wireshark (aún conocido como Ethereal, su nombre anterior) es una aplicación de auditoría orientada al análisis de tráfico en redes. Su popularidad es muy elevada, puesto que soporta una gran cantidad de protocolos y es de fácil manejo. Además Wireshark es software libre (sujeto a licencia GPL) y se ejecuta sobre la mayoría de sistemas operativos Unix y compatibles, así como en Microsoft Windows.

 La nueva versión corrige cuatro problemas de seguridad:

  • *Un problema de formato de cadena que podría llevar a un desbordamiento de memoria intermedia en el disector PROFINET.
  •  Un problema de denegación de servicio al procesar el disector LDAP en Windows.
  •  Un problema de denegación de servicio al procesar el disector Check Point High-Availability Protocol (CPHAP) 
  •  Un problema de denegación de servicio al procesar un fichero Tektronix (extensión .rf5)

 

La nueva versión puede ser descargada desde:

http://www.wireshark.org/download.html

Wireshark-announce: [Wireshark-announce] Wireshark 1.0.7 is now available http://www.wireshark.org/lists/wireshark-announce/200904/msg00001.html

 Laboratorio Hispasec

laboratorio@hispasec.com

Sun corrige 15 vulnerabilidades en JRE 1.5,x y 6.x

La nueva versión 13 de la rama 6 de Java Runtime Environment corrige múltiples vulnerabilidades, como viene siendo habitual. El “Update 13”, como su propio nombre indica, es la decimotercera tanda de corrección de problemas de seguridad desde que apareció la rama 6 hace ahora dos años.

 

También se han corregido la rama 5 con el Update 18 y el JDK para desarrolladores. Los siete boletines publicados corrigen hasta 15 vulnerabilidades diferentes que podrían ser aprovechadas por un atacante remoto para escalar privilegios, provocar denegación de servicio y potencialmente, ejecutar código arbitrario.

 

Brevemente, las vulnerabilidades son:

 

  • Se ha corregido una vulnerabilidad en su implementación del servidor HTTP. Esto podría se aprovechado por un atacante remoto sin privilegios para causar una denegación de servicios a través de vectores no especificados.
  • * Se han corregido múltiples desbordamientos de memoria en JRE al procesar ficheros de imagen en formato PNG o GIF, así como ficheros de fuentes. Esto podría permitir a un atacante remoto escalar privilegios a través de applets o aplicaciones Java Web Start especialmente manipuladas
  • Se ha corregido un error en la máquina virtual de JRE, que podría permitir a un atacante remoto la ejecución de código arbitrario a través de applets especialmente manipulados.
  • * Se han corregido múltiples vulnerabilidades en Java Plug-in, podrían permitir a un atacante remoto escalar privilegios y obtener información sensible a través de applets especialmente manipulados.
  •  Se han corregido dos vulnerabilidades en JRE al procesar y almacenar ficheros fuentes de carácter temporal consumiendo gran cantidad de espacio en disco. Esto podría permitir a un atacante remoto provocar denegación de servicio a través de applets especialmente manipulados.
  • *Se ha corregido un error de desbordamiento de enteros y memoria en la utilidad de desempaquetado ‘unpack200’ de JRE. Esto podría ser aprovechado por un atacante remoto para escalar privilegios a través de applets especialmente manipulados.
  •  Se ha corregido un error en la implementación de LDAP, que podría permitir a un atacante remoto realizar denegación de servicio a través de la realización múltiples conexiones desde un cliente LDAP.

 

Las vulnerabilidades han sido solucionadas en JDK y JRE 6 Update 13 y JRE 5.x Update 18 desde:

http://www.java.com/es/download/

 

Continuar leyendo “Sun corrige 15 vulnerabilidades en JRE 1.5,x y 6.x”

El formato PDF, de nuevo en el punto de mira

Al parecer se ha detectado un paquete de exploits capaz de aprovechar vulnerabilidades en el lector más usado de este formato, Adobe Reader.

El “PDF Xploit Pack” permite explotar vulnerabilidades y gestionar de forma centralizada a las víctimas en las que se ha conseguido ejecutar código arbitrario. Muy al estilo del Mpack o cualquier otro producto engendrado por la industria del malware, pero específico para este producto.

“PDF Xploit Pack” parece ser el primer paquete de exploits que se encarga exclusivamente de aprovechar y gestionar vulnerabilidades en el lector PDF de Adobe. Es importante tener en cuenta que los fallos pueden aprovecharse no sólo abriendo un fichero PDF que llegue por correo, sino también a través del navegador porque permiten visualizar archivos PDF incrustados en él gracias a un plugin. Los atacantes están consiguiendo (como viene siendo habitual) violar la seguridad de páginas legítimas y esconder ciertos IFRAMEs dentro. Al ser visitadas, se carga un enlace especialmente manipulado que aprovecha las vulnerabilidades.

Lo que no se aclara desde la fuente original es si el paquete aprovecha vulnerabilidades conocidas (para las que se pueda estar protegido con las últimas versiones del lector) o desconocidas hasta el momento.

El archivo PDF, cuando se abre con el lector vulnerable, descarga otro malware que realmente contiene el payload. Hay que recordar que el formato PDF ya fue usado como “downloader” en febrero de este mismo año, y el ataque resultó bastante “popular”. Instalaba el troyano Zonebac.

Hace justo un año, se aprovechó también de forma masiva una vulnerabilidad compartida entre Adobe Reader y Windows con Internet Explorer 7. En esta ocasión se usaba el fallo para, a través de una línea de comandos incrustada en el PDF, descargar por FTP y ejecutar código automáticamente al abrir el fichero. También ese mismo año, en junio, se popularizó de forma fulgurante pero efímera el correo basura en formato PDF, inundando los buzones de todo el mundo y eludiendo unos filtros antispam que no estaban preparados.

Continuar leyendo “El formato PDF, de nuevo en el punto de mira”

Actualización de seguridad para Wireshark

Se ha publicado una nueva versión de Wireshark puesto que en las anteriores se han encontrado múltiples vulnerabilidades que podrían ser explotadas por un atacante remoto, por medio de una serie de paquetes especialmente manipulados, para causar una denegación de servicio.

Wireshark (todavía muy conocido por su nombre anterior Ethereal) es una aplicación de auditoría orientada al análisis de tráfico en redes. Su popularidad es muy elevada, puesto que soporta una gran cantidad de protocolos y es de fácil manejo. Además Wireshark es software libre (sujeto a licencia GPL) y se ejecuta sobre la mayoría de sistemas operativos Unix y compatibles, así como en Microsoft Windows.

Las vulnerabilidades corregidas en la última versión son:

* Múltiples errores en epan/dissectors/packet-ncp2222.inc que podrían ser aprovechados por un atacante remoto para causar una denegación de servicio por medio de paquetes NCP especialmente manipulados. Afecta a las versiones de la 0.9.7 a la 1.0.2.

* Un error al descomprimir los paquetes comprimidos con zlib que podría causar que Wireshark dejase de responder. Todas las versiones entre la

0.10.14 y la 1.0.2 se verían afectadas, ambas inclusive.

* Un error al leer archivos .rf5 de Tektronix podría causar que Wireshark dejase de responder. Afecta a las versiones de la 0.9.6 a la 1.0.2.

Se recomienda actualizar a la versión 1.0.3 de Wireshark, disponible para su descarga desde:

http://www.wireshark.org/download.html

Opina sobre esta noticia:

http://www.hispasec.com/unaaldia/3602/comentar

Más Información:

Multiple problems in Wireshark versions 0.9.7 to 1.0.2 http://www.wireshark.org/security/wnpa-sec-2008-05.html

Pablo Molina