El divendres 12 d'abril, l'especialista en seguretat de la informació John Page va publicar informació sobre una vulnerabilitat sense pegats a la versió actual d'Internet Explorer i també va demostrar la seva implementació. La vulnerabilitat podria permetre que un atacant obtingués el contingut dels fitxers locals dels usuaris de Windows, evitant la seguretat del navegador.
La vulnerabilitat rau en la manera com Internet Explorer gestiona els fitxers MHTML, normalment amb l'extensió .mht o .mhtml. Aquest format l'utilitza Internet Explorer de manera predeterminada per desar pàgines web i us permet desar tot el contingut de la pàgina, juntament amb tot el contingut multimèdia, com un sol fitxer. De moment, la majoria dels navegadors moderns ja no desen pàgines web en format MHT i utilitzen el format WEB estàndard per a això: HTML, però, encara admeten el processament de fitxers en aquest format i també poden utilitzar-lo per desar amb la configuració adequada o utilitzant extensions.
La vulnerabilitat descoberta per John pertany a la classe de vulnerabilitats XXE (XML eXternal Entity) i consisteix en una configuració incorrecta del controlador de codi XML a Internet Explorer. "Aquesta vulnerabilitat permet a un atacant remot accedir als fitxers locals d'un usuari i, per exemple, extreure informació sobre la versió del programari instal·lat al sistema", diu Page. "Per tant, una consulta per a 'c:Python27NEWS.txt' retornarà la versió d'aquest programa (intèrpret de Python en aquest cas)."
Com que a Windows tots els fitxers MHT s'obren a Internet Explorer per defecte, explotar aquesta vulnerabilitat és una tasca trivial, ja que l'usuari només necessita fer doble clic sobre un fitxer perillós rebut per correu electrònic, xarxes socials o missatgeria instantània.
"Normalment, quan s'instancia un objecte ActiveX com Microsoft.XMLHTTP, l'usuari rebrà un avís de seguretat a Internet Explorer que li demanarà confirmació per activar el contingut bloquejat", explica l'investigador. "No obstant això, en obrir un fitxer .mht preparat amb etiquetes de marcatge especialment dissenyades l'usuari no serà advertit sobre contingut potencialment perillós".
Page va dir que va provar amb èxit la vulnerabilitat a la versió actual d'Internet Explorer 11 amb totes les últimes actualitzacions de seguretat a Windows 7, Windows 10 i Windows Server 2012 R2.
Probablement, l'única bona notícia per fer pública aquesta vulnerabilitat és el fet que la quota de mercat d'Internet Explorer, una vegada dominant, ara s'ha reduït a només un 7,34%, segons NetMarketShare. Però com que Windows utilitza Internet Explorer com a aplicació predeterminada per obrir fitxers MHT, els usuaris no han de configurar IE com a navegador predeterminat i segueixen sent vulnerables sempre que IE encara estigui present als seus sistemes i no prestin atenció a la format dels fitxers descarregats, fitxers en línia.
El 27 de març, John va notificar a Microsoft aquesta vulnerabilitat al seu navegador, però el 10 d'abril, l'investigador va rebre una resposta de l'empresa, on va indicar que no considerava aquest problema crític.
"La solució només es publicarà amb la propera versió del producte", va dir Microsoft a la carta. "Actualment no tenim previst llançar una solució per a aquest problema".
Després d'una reacció inequívoca de Microsoft, l'investigador va publicar detalls sobre la vulnerabilitat de dia zero al seu lloc web, així com un codi de demostració i un vídeo de YouTube.
Tot i que la vulnerabilitat no és tan senzilla d'implementar i requeriria que l'usuari es vegi obligat d'alguna manera a executar un fitxer MHT desconegut, aquesta vulnerabilitat no s'ha de prendre a la lleugera, malgrat la manca de resposta de Microsoft. Les bandes de pirates informàtics han utilitzat fitxers MHT per a la pesca i programari maliciós en el passat, i ara no hi ha res que els impedeixi fer-ho.
Tanmateix, per evitar aquesta i moltes vulnerabilitats similars, n'hi ha prou amb parar atenció a l'extensió dels fitxers que rebeu d'Internet i comprovar-los amb un antivirus o al lloc web de VirusTotal. I per a més seguretat, només cal que configureu el vostre navegador preferit que no sigui Internet Explorer com a aplicació predeterminada per als vostres fitxers .mht o .mhtml. Per exemple, a Windows 10, això es fa amb força facilitat al menú "Seleccioneu aplicacions estàndard per als tipus de fitxers".
Font: 3dnews.ru