Se hace pública una nueva vulnerabilidad “Zero Day” que afecta a todas las versiones de Windows
Un investigador de seguridad acaba de revelar públicamente una vulnerabilidad tipo “Zero Day” sin parchear en todas las versiones compatibles del sistema operativo, Microsoft Windows, incluidas las ediciones para servidores, después de que la empresa no haya podido parchear el error en el habitual plazo de 120 días otorgado.
Esto ha sido descubierto por Lucas Leong del equipo de la firma Trend Micro, una vulnerabilidad de día cero que reside en el motor de la base de datos “Microsoft Jet Database Engine”. Todo ello podría permitir a un atacante ejecutar código malicioso de forma remota en cualquier equipo con Windows. Cabe mencionar que la mencionada “Microsoft JET Database Engine”, o simplemente JET, es un motor de base de datos integrado en vario
Por tanto, en base a un aviso publicado por Zero Day Initiative, este fallo de seguridad se debe a un problema con la gestión de índices en el motor de la base de datos que, si se explota con éxito, puede provocar una escritura en memoria, lo que lleva a la ejecución remota de código.
Así, el atacante debe «engañar» al usuario para que abra un archivo de la base de datos JET especialmente diseñado para explotar esta vulnerabilidad, y así poder ejecutar de forma remota código malicioso en el equipo con Windows.
Nueva vulnerabilidad expone a todos los equipos con Windows
De hecho, los datos elaborados en un archivo con esta base de datos, pueden desencadenar una escritura más allá del final de un búfer, algo que un atacante puede aprovechar para ejecutar código en el proceso actual, afirma en su blog la propia Trend Micro. Lo peor del caso es que son varias las aplicaciones que utilizan este formato de base de datos, lo que agrava aún más el hecho.
Según los investigadores de ZDI, esta es una vulnerabilidad que existe en todas las versiones compatibles de Windows, incluyendo Windows 10, 8.1, Windows 7 y Server Edition de 2008 a 2016. Cabe mencionar que ZDI reportó esta vulnerabilidad a Microsoft el pasado 8 de mayo, y el gigante tecnológico confirmó el error el 14 del mismo mes, pero no ha podido parchear el fallo y lanzar una actualización dentro del plazo de 120 días, por lo que los descubridores lo han hecho público con todos sus detalles.
Al mismo tiempo, el código de explotación de prueba de la vulnerabilidad también ha sido publicado por Trend Micro en su página de la plataforma GitHub, por lo que en estos momentos Microsoft está trabajando en un parche para la misma. Debido a que no estaba incluido en el último Patch Tuesday de septiembre, cabe esperar que la corrección llegará con el de octubre.
