Ejecución remota de código con GRPCONV.EXE

Ejecución remota de código con GRPCONV.EXE
	VSantivirus No. 1466 Año 8, domingo 11 de julio de 2004 Ejecución remota de código con GRPCONV.EXE http://www.vsantivirus.com/vul-grpconv.htm Por Angela Ruiz angela@videosoft.net.uy GRPCONV.EXE es el conversor de grupos para el Administrador de programas de Windows. Ha sido reportado un desbordamiento de búfer en este componente (buffer overflow), que puede provocar la ejecución arbitraria de archivos en forma remota. El búfer es un área determinada en la memoria, usada por una aplicación para guardar ciertos datos necesarios para su funcionamiento. Esta área tiene un tamaño previamente definido en el programa, pero si se envían más bytes de los permitidos, la información sobrepasa los límites impuestos, cayendo en muchos casos sobre partes ejecutables del código principal. Un uso malintencionado de estos datos, puede hacer que esa parte contenga instrucciones preparadas para activar ciertas acciones no pensadas por el programador de la aplicación. En el caso del GRPCONV.EXE, se produce por un error del programa al no validar correctamente el nombre de un archivo enviado como parámetro. Un atacante podría crear un archivo malicioso y ofrecérselo a la víctima para explotar esta vulnerabilidad. En forma adicional se ha demostrado que la misma puede explotarse utilizando otras vulnerabilidades, cuando un sitio web malicioso es visualizado por la víctima en ciertos navegadores (no solo Internet Explorer). La explotación del fallo puede dificultarse, debido a que los parámetros deben almacenarse en formato Unicode. Este método utiliza dos bytes por cada carácter, en lugar de uno como el formato ASCII clásico. El fallo afecta a los sistemas operativos Microsoft Windows NT, 2000 y XP. No existen exploits conocidos de este fallo, y tampoco hay respuesta de Microsoft al mismo. Créditos: Andreas Sandblad Referencias: Microsoft Windows Program Group Converter Filename Local Buffer Overrun Vulnerability http://www.securityfocus.com/bid/10677/info/ Microsoft Technet Security http://www.microsoft.com/technet/security Relacionados: Shell.Application, burla el parche de Microsoft http://www.vsantivirus.com/vul-shellapplication.htm Mozilla vulnerable al uso malicioso de "shell:" http://www.vsantivirus.com/vul-mozilla-shell.htm ¿Qué es Unicode? http://www.vsantivirus.com/unicode.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com