La empresa de seguridad francesa VUPEN ha revelado que mantuvieron en
secreto una grave
vulnerabilidad 0-Day en Internet Explorer (IE) durante
al menos tres años, antes de revelarlo en el concurso de hackers
Pwn2Own celebrado en marzo de este año.
Especialidad de VUPEN es descubrir
vulnerabilidades de día cero y
venderlas al mejor postor, típicamente a agencias de inteligencia y
del gobierno y a la iniciativa
Zero Day Initiative de HP.
La
vulnerabilidad crítica afectada a las versiones 8, 9, 10 y 11 del
navegador Internet Explorer y permite a los atacantes evitar remotamente
la
sandbox del modo protegido de IE y se puede aprovechar para
obtener privilegios elevados en el sistema. La Sandbox es un mecanismo
de seguridad utilizado para ejecutar una aplicación en un entorno
restringido. Si un atacante es capaz de eludir este mecanismo, podría
ejecutar código malintencionado en el equipo atacado.
Timeline de la vulnerabilidad
Según la revelación hecha por la empresa la semana pasada, la
vulnerabilidad CVE-2014-2777 fue descubierta por la empresa el 12 de febrero de 2011
fue parcheada por Microsoft el mes pasado (MS14-03). En el medio pasaron tres años de 2011 a 2014 que Microsoft no había conocido la
vulnerabilidad.
"La vulnerabilidad es causada debido a un manejo incorrecto de la
direcciones cuando se llama a la función 'ShowSaveFileDialog()', que
podría ser aprovechada por un proceso para escribir archivos en
ubicaciones arbitrarias en el sistema y saltar la sandbox del modo
protegido de IE" escribió la compañía.
VUPEN ha explotado varios objetivos en marzo en
Pwn2Own incluyendo Chrome, Adobe Flash y Adobe Reader y Microsoft Internet Explorer, obteniendo ganancias por U$S400.000.
Fuente:
The Hacker News