A pocas horas
de acabar el año Windows ha sido una vez más víctima de un nuevo fallo de
seguridad que se ha detectado en su sistema. Este nuevo fallo de seguridad en
uno de los módulos internos del sistema permite elevar privilegios a un usuario
sin ellos para poder tomar el control completo del ordenador sin demasiada dificultad.
Detalle e Impacto de la vulnerabilidad
- Una vez más, los investigadores de seguridad de Google han sido los responsables de detectar este fallo de seguridad en el sistema operativo de Microsoft. En un método de explotación resumido, el sistema llama a NtApphelpCacheControl, una función alojada en la librería ahcache.sys para conseguir los máximos privilegios en el sistema durante el proceso de actualización del mismo. Este comando garantiza poder acceder por completo a la memoria caché para poder crear nuevos procesos en tiempo real y evitar que el sistema se bloquee al instalar los parches. Para comprobar que se tienen los permisos correspondientes se llama a la función AhcVerifyAdminContext.
- El fallo de seguridad detectado por Google permite engañar a AhcVerifyAdminContext para indicarle que tenemos un token de acceso para escribir nuevas entradas en la memoria caché del sistema, de manera que un usuario podría utilizarlo para crear nuevas tareas e hilos de proceso con el máximo nivel de permisos posible.
- Los pasos a seguir para explotar la vulnerabilidad son:
- Copiar los archivos AppCompatCache.exe y Testdll.dll al disco duro.
- Asegurarse que UAC está activado en el sistema.
- Ejecutar en una ventana de MS-DOS: “AppCompatCache.exe c:\windows\system32\ComputerDefaults.exe testdll.dll”
- Comprobar que se han ganado permisos de administrador sin ninguna notificación y se ha abierto la calculadora con estos permisos.
- Por el momento únicamente se ha confirmado que los nuevos Windows 8 y Windows 8.1 son vulnerables ante esta vulnerabilidad ya que no se han probado en las versiones anteriores como Windows 7 ni en la versión de desarrollo de Windows 10. Igualmente ya se encuentra disponible en la web de Google Code un exploit para demostrar la existencia de esta vulnerabilidad y poder ganar permisos en los sistemas operativos vulnerables.
Recomendación
- Microsoft ya es consciente de esta vulnerabilidad y en próximas actualizaciones del sistema probablemente se solucione este error. Por el momento, para evitar ser víctimas del mismo debemos evitar que usuarios no autorizados tengan acceso físico al sistema y no ejecutar archivos sospechosos descargados de Internet.
