Ejecución de código en Windows XP con archivos EMF

Ejecución de código en Windows XP con archivos EMF
	VSantivirus No. 1328 Año 8, miércoles 25 de febrero de 2004 Ejecución de código en Windows XP con archivos EMF http://www.vsantivirus.com/vul-xp-explorer-emf.htm Por Marcelo A. Rodriguez marcelo-ar@videosoft.net.uy Fallo del Explorador de Windows XP al procesar archivos con extensión .EMF permite la ejecución de código. Se ha reportado una vulnerabilidad del tipo desbordamiento de búfer (buffer overflow) en el Explorador de Windows, al procesar archivos .EMF (Enhanced Metafile, un formato de gráficos), lo que permite la ejecución de código arbitrario en el sistema atacado. Un usuario malintencionado, podría crear un archivo .EMF especialmente malformado, que al ser previsualizado mediante el Explorador de Windows, podría ocasionar un desbordamiento de HEAP (heap overflow), con la posibilidad de ejecutar código arbitrario en el sistema, con los privilegios del usuario local. El término HEAP indica una porción de memoria disponible para un programa, también llamada área de memoria dinámica. El heap es el área en que la asignación y desasignación de memoria ocurre en orden aleatorio. Según el reporte, el software asigna un búfer basado en el campo "tamaño total". Un encabezado que sea mayor que este tamaño generará el desbordamiento. Luego el software intentará leer el resto del archivo hasta un valor que está sujeto a un desbordamiento de entero (integer overflow). Un desbordamiento de entero o "Integer Overflow", se produce cuando una variable definida como entera, sobrepasa los valores asignados. Estos desbordamientos pueden generarse al visualizar un directorio conteniendo un archivo malicioso, como miniaturas, o previsualizando la imagen. El reporte indica que existen fallos similares en el procesamiento de los archivos .WMF (Windows Metafile). Los archivos WMF y EMF, son formatos vectoriales de imágenes (Windows Metafile y Enhanced Metafile), propietarios de Microsoft Windows, y utilizados por múltiples aplicaciones. No existe solución para este fallo por el momento, por lo que se recomienda no aceptar archivos de este tipo desde enlaces o mensajes sospechosos. Publicado en: http://www.securitytracker.com/alerts/2004/Feb/1009181.html Glosario: Desbordamiento de búfer - El búfer no es otra cosa que un área determinada en la memoria, usada por una aplicación para guardar ciertos datos necesarios para su funcionamiento. Esta área tiene un tamaño previamente definido en el programa, pero si se envían más bytes de los permitidos, la información sobrepasa los límites impuestos, cayendo en muchos casos sobre partes ejecutables del código principal. Un uso malintencionado de estos datos, puede hacer que esa parte contenga instrucciones preparadas para activar ciertas acciones no pensadas por el programador de la aplicación. (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com