Como si todas las vulnerabilidades en Flash y Windows descubiertas en el caché de documentos de Hacking Team y los 193 errores de Oracle arreglados la semana pasada no fueran suficiente para las organizaciones, Zero Day Initiative de HP ha lanzado cuatro nuevas vulnerabilidades dia cero en Internet Explorer Mobile que puede provocar la ejecución remota de código en Windows Phones.
Las cuatro vulnerabilidades originalmente fueron reportadas a Microsoft apuntando que afectaba a Internet Explorer en el escritorio, y más tarde se descubrió que también afectaban a IE Mobile en Windows Phones. Microsoft ha parcheado todas las vulnerabilidades en la versión de escritorio del navegador, pero los fallos permanecerá abiertos en IE Mobile. Los reportes iniciales sobre estos defectos dijeron que eran dia cero en Internet Explorer, también. La compañía actualizó los avisos la noche del jueves para reflejar el hecho de que los errores sólo afectan a IE Mobile.
La más grave de las cuatro vulnerabilidades es un error en el modo en que Internet Explorer maneja algunos arreglos específicos.
Entre las otras vulnerabilidades que la empresa dio a conocer un defecto en la forma en IE maneja algunos objetos.
 |
| Fuente: ThreatPost |
"Somos conscientes de los informes relativos a Internet Explorer para Windows Phone. Una serie de factores tendrían que entrar en juego, y no ha habido reporte de ataques. Seguimos monitoreando la situación y tomaremos las medidas apropiadas para proteger a nuestros clientes ", dijo un portavoz de Microsoft.Cada una de las cuatro vulnerabilidades es en un componente diferente del navegador, pero todas ellas son explotables remotamente. Los reportes de ZDI dicen que los atacantes podrían aprovechar estas vulnerabilidades a través de ataques drive-by típicos.
La más grave de las cuatro vulnerabilidades es un error en el modo en que Internet Explorer maneja algunos arreglos específicos.
"La vulnerabilidad se refiere a cómo Internet Explorer procesa matrices que representan celdas en tablas HTML. Mediante la manipulación de los elementos de un documento un atacante puede forzar a Internet Explorer para utilizar la memoria más allá del final de una serie de células HTML. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del actual proceso ", el asesor de ZDI dice.Esa vulnerabilidad fue descubierta como parte del concurso Mobile Pwn2Own en noviembre y ZDI comunico a Microsoft en el momento. ZDI tiene una política de divulgar las vulnerabilidades comunicadas de forma privada después de 120 días, incluso si el proveedor afectado no ha lanzado un parche. Microsoft no ha emitido parches para cualquiera de los cuatro vulnerabilidades descubiertas por ZDI esta semana.
Entre las otras vulnerabilidades que la empresa dio a conocer un defecto en la forma en IE maneja algunos objetos.
"Existe el defecto específico en el manejo de objetos CAttrArray. Mediante la manipulación de elementos de un documento un atacante puede forzar un puntero a trabarse para ser reutilizado después de que ha sido liberado. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del actual proceso ", dice el aviso.Las otras dos vulnerabilidades son similares, ya que implican el mal manejo de ciertos objetos. IE en algunas circunstancias falla al manejar objetos CTreePos y CCurrentStyle, lo que lleva a un puntero a que se cuelge y que un atacante puede reutilizarlo.
