El último lunes, un día antes de la publicación de las actualizaciones de seguridad de Microsoft, en un foro chino hacía pública una vulnerabilidad en Internet Explorer 7 -se acredita descubierta al grupo chino 'KnownSec'-. No existe parche oficial disponible, no necesita interacción por parte del usuario y permite, si consigue explotar el fallo, ejecutar código arbitrario con los permisos del usuario.

Incluso, hay versiones no confirmadas, de que algunos creadores de malware ya lo conocían desde antes y que recién ingresó al mercado negro en noviembre, cuando alguien pagó por los detalles del mismo.

El fallo sería utilizado por creadores de malware, no solo a través de sitios webs maliciosos, sino también de sitios normales que han sido comprometidos por medio de otra vulnerabilidad. La visita a los mismos puede hacer que se active un script en la computadora de la víctima, que descargará y ejecutará una código malicioso en el sistema vulnerable.

La vulnerabilidad reside en el manejo de etiquetas XML que efectúa Internet Explorer. En los análisis de algunos exploits se ha hallado un vector común de ataque. Sin entrar en detalles, usa XML para incluir código HTML a la vez que provoca una corrupción de memoria que es aprovechada con javascript para volcar una cadena que contiene el shellcode, el cual descargará un binario que a su vez descarga componentes que ensamblan un troyano.

Microsoft ha informado que se encuentra trabajando en una solución y que en breve se podrá disponer de una actualización. Según la empresa los ataques detectados se encuentran en Internet Explorer 7 sobre Windows XP, Windows Vista y Windows Server 2003 y 2008, aún con todos los Service Pack instalados.

La habilitación del "Modo protegido" de IE7 en Windows Vista o el uso del nivel "Alto" de seguridad en el navegador afectado en los otros sistemas operativos, podría ayudar a prevenir el riesgo, dificultando su explotación, pero no es una manera de evitar completamente un posible ataque.

Fuentes:
Hispasec
Enciclopedia Virus
ZDNet
Microsoft Security Advisory (961051)