Software vulnerable a través del Web

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

Software vulnerable vía Web, y una solución a medias
	Sábado 7 de agosto de 1999. ¿Bajar 6 megas del Web para enterarse que no era lo que necesitábamos?. Supongo que no debo ser el único a quien le ha pasado algo así, y le volverá a pasar... Pero la última vez se debió a la ya famosa vulnerabilidad en el "controlador ODBC" de Excel 97. Cómo decíamos en un artículo anterior, el 27 de julio pasado, "Microsoft se percató de este problema de seguridad relativo al controlador de base de datos ODBC instalado como parte de Excel 97. Es posible que, aprovechando la vulnerabilidad de este controlador, un codificador malintencionado cree una hoja de cálculo de Excel 97 para eliminar archivos y realizar otras acciones perjudiciales. El usuario podría toparse con este problema al abrir una hoja de cálculo adjunta a un mensaje de correo electrónico o vinculada desde un sitio Web". Esto dice hoy en una de sus páginas. Bien, también agrega que "las aplicaciones de Office 97, incluido Excel, advierten a los usuarios antes de que ejecuten macros y les permiten decidir si desean desactivarlas o no. Sin embargo, esta vulnerabilidad no está asociada a las macros y, por lo tanto, el usuario no recibe ningún aviso al abrir la hoja de cálculo". Y parece que la solución de bajar la versión actualizada del controlador ODBC, de 6Mb que comentábamos la semana pasada, "no es una solución recomendada para este problema específico". En su lugar, Microsoft "está probando actualmente una solución diseñada para todos los clientes de Office 97 y la publicará en breve en su sitio Web". Por lo pronto, existe una solución, y un archivo de solo 93k que parece implementarla. Aunque al día de hoy es solo para la versión en inglés del Office, lo que hace es advertir al usuario su confirmación antes de abrir cualquier documento de Office. Puede bajar este archivo de 93k de esta dirección: http://microsoft.com/security/Issues/OfficeDocOpenTool.asp Básicamente, lo mismo hace una herramienta recientemente liberada por el fabricante de antivirus Trend Micro, que en realidad es un archivo .REG que modifica el registro para que también pida confirmación antes de abrir los documentos de Office bajados de un sitio Web o recibidos via e-mail. Puede bajar este archivo desde http://www.antivirus.com/vinfo/security/sa080399.htm Ambas son soluciones temporales por supuesto. Recordemos además que este asunto no afecta a los usuarios de Office 2000, que no tienen esta vulnerabilidad. Pero este tema pone en el tapete, otro tema de seguridad, que es necesario tener muy en cuenta, y no solo el Office es vulnerable a él, ya que es evidente que este tipo de grietas podrían ser usadas por bromistas o ciberpiratas a través de e-mail o sitios Web para recuperar, alterar o borrar datos en computadoras usadas por millones de personas. Es clara la tendencia actual de muchas compañías a realizar las actualizaciones de software, a través de Internet, con el usuario en línea. Algunos expertos en seguridad afirman que al menos algunas computadoras Compaq y Hewlett-Packard que pueden ser actualizadas automáticamente desde Internet también contienen fallas que podrían ser explotadas de forma similar. "Los esfuerzos por aprovecharse de este tipo de vulnerabilidades no sería descubierto o prevenido por un software antivirus, porque no habría evidencia que tal acción hubiera ocurrido", dijo Russ Cooper, moderador de la lista de seguridad Ntbugtraq. Jeffrey Schiller, jefe de seguridad en computadoras del Instituto de Tecnología de Massachusetts (MIT), piensa que estos problemas ilustran las trampas de los programas de actualización a través del Web o a través del e-mail a pesar de su aparente conveniencia. "No está claro para mí que sea una idea sabia la de escribir todos éstos scripts... eso permite tomar el mando completo de una computadora," comentó Schiller a la agencia de noticias AP. "Ahora que las fallas son conocidas, muchos hackers por diversión y algún que otro delincuente, pueden tratar de aprovecharse de estas grietas antes de que las correcciones estén disponibles", advirtió. Muchos virus típicamente se han extendido a través de los macros, pequeños programas que combinan una serie de comandos. Un usuario de computadora que abre un e-mail o que importe material de un sitio Web que contenga macros, puede ser avisado de esto y se le da la opción de desactivarlos o desechar los documentos o material que los contenga. Pero esta nueva vulnerabilidad es de una fuente diferente. "Éste es un problema que necesita ser arreglado, un problema de grandes proporciones," dijo Cooper. "Las ramificaciones son bastante grandes." Una falla de Compaq fue descubierta en noviembre pasado por Frank Farance de Farance Inc., consultor de información tecnología, y fue "redescubierto" el pasado 23 de julio por Richard Smith, presidente de Pharlap Software en Cambridge, Massachusetts. Esta falla involucra un applet de Java, un pequeño programa que permite actualizar los programas de la Compaq Presario a través de Internet. Pero los applets también pueden ser dirigidos a una página Web para revelar una lista de e-mail, descargar archivos financieros o proporcionar direcciones, teléfonos, inscripciones y números de tarjeta de crédito. Smith dijo que él encontró un problema similar con algún modelo de computadora de Hewlett-Packard. Pero esta compañía no informó nada sobre la materia. Un portavoz de Compaq expresó que otros fabricantes de computadoras tienen problemas similares y sugirió que existía una pequeña probabilidad de que un hacker pueda hacer un uso malévolo del applet. Por ahora, Compaq planea instruir a sus usuarios cómo desactivar esta utilidad momentáneamente, y luego ofrecerá un applet mejorado que está siendo diseñado para prevenir estos agujeros en la seguridad. Sobre el problema con las computadoras "Compaq", Hispasec publicó en su página (http://www.hispasec.com) algunos pasos para prevenirlo: "Primero se debe ejecutar Internet Explorer 4 ó 5. Seleccionar en el menú ‘Ver’, ‘Opciones de Internet...’ (en IE4) o en el menú ‘Herramientas’, ‘Opciones de Internet...’ (en el caso de IE5), el botón ‘Compañías’ en el apartado ‘Certificados’ de la pestaña ‘Contenido’. Allí hay que comprobar si aparece ‘Compaq Computer Corporation’, o el nombre de la empresa que ha fabricado el ordenador en el listado de compañías que pueden usar sus certificados para autentificarse con total confianza en el sistema. Es decir, Windows no preguntará nada al instalar y ejecutar programas que traigan ese certificado. En estos casos, [en que el sistema posee esta puerta trasera], se puede proceder a su borrado de la lista." Hispasec también aconseja borrar el fichero C:\CPQS\SERVICE\CERTREG.REG, que es ejecutado desde un BAT que se llama en determinados sistemas Compaq antes de Internet Explorer, y se encarga de modificar el registro de Windows para hacer sus certificados de confianza.