Últimas noticias
- Usuarios de Skype afectados por ransomware en anuncios maliciosos 01-Abr-2017
- Java y Flash encabezan la lista programas más obsoletos 31-Mar-2017
- Apple soluciona error en Safari usado en ataques de ransomware 28-Mar-2017
- Utilizan botnet GiftGhostBot para robar saldos de tarjetas de regalo 28-Mar-2017
- Expertos señalan que hay archivos sensibles expuestos en Docs.com 28-Mar-2017
- Spammers modifican archivos RTF para ocultar malware 27-Mar-2017
- Estafas de bitcoins infestan las redes sociales 25-Mar-2017
Vulnerabilidades en Windows Installer podrían elevar privilegios
Un investigador de IOActive Labs presentó un tema interesante que afecta a los archivos de instalación de Windows 7 o Windows 2008, los cuales podrían permitir a un atacante elevar sus propios privilegios y comprometer el sistema operativo.
Cesar Cerrudo reveló que la carpeta C:\Windows\Installer\ contiene archivos de instalación que previamente instalaron aplicaciones, a pesar de que los nombres de los archivos son aleatorios, una vez que fueron ejecutados, si son instaladores de aplicaciones Microsoft; entonces automáticamente escalan privilegios para iniciar la instalación.
Aunque en teoría no debería haber ningún problema, durante el proceso de instalación algún archivo .dll es cargado por el sistema operativo por medio del proceso msiexec.exe con privilegios elevados.
Esto podría considerarse una vulnerabilidad si la dll es reemplazada con un archivo especialmente diseñado, ya que un atacante podría obtener elevación de privilegios y ejecutar su propia pieza de código.
Sin embargo, antes de ejecutar el archivo dll, msiexec.exe genera un hash MD5 y lo compara con el hash conocido MD5, el cual lee del folder donde guarda los instaladores.
Esto significa que para explotar exitosamente la debilidad, un atacante necesitaría remplazar el archivo dll con uno que contuviera el código, el cual debería corresponder con un hash válido.
“El problema es que esto no es un simple ataque, es un ataque al algoritmo hash MD5 conocido como ataque a la segunda-preimagen, pero esto no es tan práctico que yo sepa, así que es imposible para un atacante común generar un archivo con el mismo hash MD5 de algún archivo DLL”, dijo Cerrudo.
Por otro lado, cree que alguien con la tecnología para crackear, o que tenga los recursos de una agencia de inteligencia, podría ser capaz de realizar algo como esto.
“No sé porque Microsoft sigue usando MD5; si ha sido prohibido por Microsoft SDL (Security Development Lifecycle) desde el 2005, y parece que hay algunos componentes olvidados o estos componentes han sido construidos sin seguir las guías SDL. Quién sabe qué otras funcionalidades MD5 continúan siendo usadas por parte de Microsoft, permitiendo el abuso de algunas agencias de inteligencia,” concluyó.
Observe un concepto de prueba del hallazgo de Cerrudo en Youtbe.
