Vulnerabilidad crítica en Windows (WebViewFolderIcon)

También puede ser explotada por un troyano u otra clase de malware.

Son afectadas todas las versiones de Windows actualmente soportadas, menos Windows Server 2003 y Windows Server 2003 SP1 con la configuración por defecto.

NOTA 30/09/06: La cantidad de reportes de sitios que explotan esta vulnerabilidad ha aumentado al grado que pasamos el nivel de alerta a NARANJA. Es necesario que las personas apliquen las medidas sugeridas en este artículo para minimizar los riesgos de infección por códigos maliciosos que podrían instalarse utilizando esta vulnerabilidad, hasta que Microsoft publique un parche para el problema.

Solución:

No existe una solución oficial para este problema al momento de la publicación de esta alerta.

Herramienta para habilitar el kill bit de WEBVW.DLL

El SANS Institute Internet Storm Center (http://isc.sans.org), ha publicado una herramienta que habilita el “kill bit” del componente afectado (WEBVW.DLL)

Para usarla, descargue el archivo siguiente y ejecútelo en su PC:

http://handlers.sans.org/tliston/WEBVW.DLL_KillBit.exe

Al ejecutarlo, un mensaje del tipo “No se puede comprobar el fabricante, ¿Está seguro que desea ejecutar este software?” podría ser mostrado. En ese caso, a pesar de la advertencia, pulse el botón “Ejecutar”.

Si el kill bit no ha sido activado (sería la situación normal la primera vez que use esta herramienta), una ventana con el título “Error” y el mensaje “The killbit for WEBVW.DLL is currently UNSET. Do you want to set it?” le será mostrada. Pulse en “Si” para activarlo (esto protegerá su PC de un exploit para esta vulnerabilidad).

Si por el contrario, el kill bit ya ha sido activado, una ventana con el título “Error” y el mensaje “The killbit for WEBVW.DLL is currently SET. Do you want to remove it?” le será mostrada. Pulse en “Si” para desactivarlo (si por alguna razón deseara hacerlo).

Recuerde, su PC estará protegido si ACTIVA el kill bit de WEBVW.DLL (SET killbit).

El SANS también publicó la misma herramienta para ser ejecutada desde línea de comandos.

Más información:

Setslice Killbit Apps
http://isc.sans.org/diary.php?storyid=1742

Sobre el kill bit de WEBVW.DLL

Por cada control ActiveX existe un único identificador de clase llamado CLSID.

CLSID (Class identifier, o Identificador de clase), es un identificador universal exclusivo (UUID) que identifica un componente COM. Cada componente COM tiene su CLSID en el registro de Windows de forma que otras aplicaciones puedan cargarlo.

COM (Modelo de Objetos Componentes), es un modelo de programación orientada a objetos que define cómo interactúan los mismos con una aplicación determinada o entre distintas aplicaciones.

En el registro de Windows, si vemos la sección “HKEY_LOCAL_MACHINE SOFTWARE Microsoft Internet Explorer ActiveX Compatibility”, nos encontramos con varios identificadores CLSID de ActiveX que están representados por un código extremadamente largo de letras y números entre corchetes, por ejemplo: {00000566-0000-0010-8000-00AA006D2EA4}.

En cada clave existe un valor llamado “Compatibility Flags”. Cuando este valor es equivalente a “1024” (o 400 en hexadecimal), se evita que ese control se instale o ejecute (esto hace SpywareBlaster por ejemplo, para evitar la carga de muchos parásitos, spywares y adwares).

Habilitando el “kill bit” para “WEBVW.DLL” en el registro de Windows, dicho objeto igual podrá acceder a su disco duro, pero no lo podrá hacer cuando se encuentre dentro del Internet Explorer, evitando así que una vulnerabilidad como la detectada pueda ser utilizada maliciosamente.

NOTA: Los siguientes son los CLSID para WEBVW.DLL
{844F4806-E8A8-11d2-9652-00C04FC30871}
{E5DF9D10-3B52-11D1-83E8-00A0C90DC849}

Más información:

Microsoft Security Advisory (926043)
Vulnerability in Windows Shell Could Allow Remote Code Execution
http://www.microsoft.com/technet/security/advisory/926043.mspx

Vulnerability Note VU#753044
Microsoft Windows WebViewFolderIcon ActiveX integer overflow
http://www.kb.cert.org/vuls/id/753044

CVE-2006-3730
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3730

[Última modificación: 30/09/06 18:38 -0300 ]

(c) Video Soft – http://www.videosoft.net.uy
(c) VSAntivirus – http://www.vsantivirus.com

Deja un comentario