Dos vulnerabilidades en Internet Explorer están siendo explotadas activamente

a primera vulnerabilidad, CVE-2012-1875, fue tratada y corregida (junto con otras 13) en el boletín MS12-037 del día 12 de junio. Se trata de un error al intentar acceder a objetos ya borrados en Internet Explorer (relacionados con la misma ID) que podría causar un acceso inválido a memoria y permitiría la ejecución de código con solo visitar una web.

Cuando se publicó este parche, Microsoft sabía que el fallo estaba siendo usado (al menos desde el 1 de junio), pero en "ataques limitados". En realidad siempre suelen decir lo mismo, aunque el ataque se produzca a gran escala. De hecho, poco después se comprobó que la página de AmnistíaInternacional de Hong Kong había sido comprometida, e infectaba con malware a quien la visitara, aprovechando este mismo fallo. Apenas unos días más tarde, se hicieron públicos los detalles técnicos y por tanto, cualquiera puede aprovechar ya el fallo.

El mismo día que liberaron los parches, hicieron pública una alerta sobre una vulnerabilidad en el intérprete XML no resuelta. CVE-2012-1889, de la que decía que se habían detectado ataques (esta vez, omitían la palabra "limitados"). Afecta a de Internet Explorer y Office. En vez de un parche, Microsoft publica un "FixIt", que soluciona temporalmenteel problema. Como curiosidad, los FixIt suelen "deshabilitar" el componente afectado, pero en este caso no. Deshabilitar el XML Core Services entorpecería demasiado la navegación, por lo que en el FixIt lo que se hace es prácticamente arreglar el problema, inicializando el objeto que causa la vulnerabilidad siempre que Internet Explorer se lanza (puesto que el fallo se da cuando se accede y aún no ha sido inicializado ese objeto). Lo que no aclaran es si este FixIt soluciona también el problema en Office.

Se sabe que esta vulnerabilidadparece haber sido utilizada de manera sofisticada contra usuarios muy concretos de Gmail.

En esta alerta recomiendan por primera vez EMET como contramedida eficaz para detener las técnicas más avanzadas de los exploits. En estemos momentos con su versión 3 recién publicada, Microsoft la integra y reconoce aún más como una herramienta indispensable para detener los exploits.

Más información:

Una vulnerabilidad en Microsoft XML Core Services podría permitir la ejecución remota de código http://technet.microsoft.com/es-es/security/advisory/2719615

MSXML: Fix it before fixing it http://blogs.technet.com/b/srd/archive/2012/06/13/msxml-fix-it-before-fixing-it.aspx

Google warns Gmail users of 'state-sponsored' hacks http://www.computerworlduk.com/news/security/3361989/google-warns-gmail-users-of-state-sponsored-hacks/

CVE-2012-1875 Exploited in the Wild - Part 1 (Trojan.Naid) http://www.symantec.com/connect/blogs/cve-2012-1875-exploited-wild-part-1-trojannaid