Georgi Guniski, el famoso cazador de vulnerabilidades, ha descubierto una grave problema que puede hacer que al abrir un documento de MS Office directamente desde el Explorador de Windows se ejecuten programas.
Si determinadas dlls están presentes en el directorio actual y el usuario efectúa un doble click sobre el documento MS Office o se abre desde Inicio/Ejecutar se ejecutarán las dlls. Esto puede permitir la ejecución de código nativo y puede permitir tomar el control total del ordenador del usuario. La vulnerabilidad también se puede reproducir con idénticos resultados sobre unidades compartidas con sus nombres UNC.
El problema se produce cuando riched20.dll o msi.dll (cualquiera de las dos) o bien otra dll especialmente creada se encuentra presente en el mismo directorio que un documento word. Esto posibilita que al efectuar un doble click en el documento desde el Explorador de Windows se ejecute el código existente en DllMain() de la dll en cuestión. Los documentos Excel se comportan de forma similar cuando actoa con la librer¡a msi.dll, si bien con riched20.dll no funciona de igual forma.
Este problema puede ser reproducido en moltiples escenarios, por ejemplo en empresas y corporaciones suele ser habitual la existencia de un servidor de archivos. En este caso un atacante podr preparar una dll maliciosa, con c¢digo maligno en el cual introducir un troyano, aumentar sus privilegios o cualquier acci¢n similar y la renombrar a riched20.dll. Tras ello bastar con dejar la dll en el servidor de archivos junto a los documentos de MS Office. Seguramente algon usuario abrir algon documento desde el Explorador y provocar (sin saberlo) que el atacante consiga su objetivo.
Opina sobre esta noticia:
http://www.hispasec.com/unaaldiacom.asp?id=702
M s informaci¢n:
Securityfocus
http://www.securityfocus.com/vdb/bottom.html?vid=1699
Bugtraq
http://www.securityfocus.com/archive/1/83410
Antonio Ropero
antonior@hispasec.com
http://www.hispasec.com
