Ataque remoto al IE con corrupción de memoria

Ataque remoto al IE con corrupción de memoria
	VSantivirus No. 1412 Año 8, martes 18 de mayo de 2004 Ataque remoto al IE con corrupción de memoria http://www.vsantivirus.com/vul-ie-memoria.htm Por Angela Ruiz angela@videosoft.net.uy Microsoft Internet Explorer 6 (6.0.2800.x), puede permitir la sobre escritura de algunos valores del registro del procesador, provocando la corrupción de la memoria del programa. Esto habilita que un atacante pueda llevar a cabo una condición de denegación de servicio (DoS) en forma remota. Mediante una página Web con un código JavaScript embebido en ella, y utilizando los métodos "onLoad" y "window.location", se puede invocar un URL del tipo "file:/ /" especialmente modificado para apuntar a una unidad de disco local con el nombre codificado en formato hexadecimal (/HEX:/archivo). El resultado es la sobre escritura de los registros del procesador ECX, EDX, y EDI. Estos registros pueden ser entendidos como "variables de hardware" ubicadas en el propio procesador, y en las cuales pueden cargarse ciertos valores de la memoria actualmente usada, para procesarlos junto a otras instrucciones de lenguaje máquina y finalmente volverlos a escribir en ella. Esto es mucho más rápido que la manipulación de información dentro de la propia memoria. Los registros ECX (contador), EDX (datos), y EDI (índice destino), son registros de propósito general usados para almacenar diferentes valores durante el flujo normal de la ejecución de un programa. La corrupción de estos datos, puede provocar el fallo del programa (el IE en este caso), e incluso su manipulación puede llevar a la ejecución de código. Este fallo en concreto, puede ser provocado por la simple visita a un sitio Web malicioso. Cuando la página con el código mencionado se carga, los tres registros ya descriptos son sobrescritos, provocando la corrupción de la memoria usada por el IE. A partir de allí, la asociación de páginas HTML y HTM con el Internet Explorer ya no funcionarán, así como tampoco ningún acceso directo al IE. Una ventana emergente del sistema puede advertir del intento de acceso a un archivo del sistema con permiso denegado. Esta vulnerabilidad también puede afectar al MSN Messenger, el cuál falla inmediatamente después de ingresar a él con nombre de usuario y contraseña. Una prueba de concepto ha sido enviada a Microsoft. Esta vulnerabilidad afecta los siguientes productos y plataformas: - Microsoft Internet Explorer 6 (y posiblemente anteriores) - MSN Messenger - Todas las versiones de Windows No existen parches o actualizaciones disponibles a la fecha (mayo 2004). La configuración sugerida en el siguiente artículo, impide la ejecución de código como el que provoca el exploit, a menos que usted lo autorice explícitamente: Configuración personalizada para hacer más seguro el IE http://www.vsantivirus.com/faq-sitios-confianza.htm Esta vulnerabilidad puede permitir la manipulación de datos. Créditos: Emmanouel Kellinis (http://www.cipher.org.uk) Referencias: Remote DoS IE Memory Access Violation http://archives.neohapsis.com/archives/bugtraq/2004-05/0055.html BID-10299: Microsoft Internet Explorer Unconfirmed Memory Corruption Vulnerability http://www.securityfocus.com/bid/10299 Microsoft Internet Explorer file URL could allow an attacker to overwrite registry http://xforce.iss.net/xforce/xfdb/16091 Glosario: URL (Uniform Resources Locator o Localizador Uniforme de Recursos) - Básicamente solemos referirnos a cualquier dirección de Internet. En realidad se trata de una estandarización de recursos que permite encontrar estas direcciones. Dicho de otra manera, se trata de un "apuntador" a la ubicación de cualquier archivo, como por ejemplo una página HTML. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com