Parches de Carnaval, digo, de martes

(Por El Microsaurio) No sé si fueron a algún corso en estos días, pero la sección pitos y matracas está acá, lista para alegrarlos con los parches y sustos de este mes, cortesía de Windows y su alegre grupo de especialistas en seguridad. Afortunadamente no son tantos ni tan pocos, apenas lo justo para que vayas a buscar la taza de café y regreses, querido admin…

Fueron tres Boletines de Seguridad, y cubrieron cuatro vulnerabilidades. En un arranque de prolijidad, ahí van ordenaditos por número:

El MS11-015 ha sido calificado como Crítico, y resuelve dos vulnerabilidades encontradas en Windows Media. Una, para la cual ya se ha escrito código de ataque publicado en la Internet, está en DirectShow; la otra fue encontrada en Windows Media Player y Windows Media Center. El medio empleado para el ataque probablemente sea un archivo “*.dvr-ms” que contenga una grabación digital de video especialmente “preparada”. Los sistemas operativos afectados son Windows XP, Vista y Siete, además del Media Center TV Pack para Vista y Windows Server 2008 R2.

El boletín MS11-016, marcado por Microsoft como Importante, atañe a Microsoft Groove 2007 Service Pack 2. Por eso lo calificaron como “Boletín para Office” (como si eso lo hiciera más o menos grave, no lo especificaron…) y de entrada aclaran que las versiones 2007 y 2010 de Groove no están afectadas, y tampoco SharePoint Workspace 2010. Tomen nota de que ya se ha publicado en la Web el método de ataque. Algunos detalles históricos de Groove están en esta nota anterior, donde también hay un link para los más curiosos.

Al final, pero no por eso menos serio, aparece el Boletín de Seguridad Microsoft MS11-017, también Importante según los de Redmond. Al contrario, creo que una falla de programación en un componente como Escritorio Remoto es cualquier cosa menos “mediana”, que sería el equivalente de “importante”. En efecto, se trata de los archivos *.rdp del cliente de conexión remota de escritorio, Remote Desktop Connection Client, en sus versiones 5.2 – 6.0 – 6.1 y 7.0, que corren en (agárrense) Windows XP, Vista, Windows 7, Server 2003 y Server 2008 R2. (No, MS-DOS 5 no traía este componente, así que no está afectado…)

Las dos fallas de los boletines 16 y 17, además, tiene algo ominoso en común. Son defectos de programación presentes en determinadas DLL, que se manifiestan durante lo que Microsoft denomina “precarga de la biblioteca dinámica”.
Sí, señoras y señores, se ha encontrado la forma de ejecutar código no autorizado metiendo previamente un ejecutable peligroso, disfrazado de DLL, en un lugar del sistema operativo donde lo irá a buscar un programa que el atacante ha estudiado antes. El desgraciado de turno ha detectado que la aplicación abrirá justo el programita que él quiere.

No es un tema nuevo. El Boletín MS10-087, referido a qué pasa cuando se planta un documento de Office “modificado” en un website, para que un visitante lo abra desde su sistema; el MS10-093, misma falla, pero en Movie Maker, o el MS10-096, que describe una vulnerabilidad similar en Windows Address Book (la agenda de contactos), todos se refieren a este tipo de problemas con el uso malvado de esta característica de carga de DLL que emplea Windows. Para más datos, en la Nota de Seguridad 2269637 (que vale la pena leer) destacan la necesidad de que los desarrolladores revisen un texto llamado “Dinamic-Link Library Security”. No me queda claro si en Redmond leen todo lo que publican… espero que sí.
Ah, el martes por la noche apareció la versión en español del Boletín de Marzo 2011, que podrán consultar aquí. Que les vaya bien y no se rompa nada al emparchar.