Se ha reportado un exploit activo para una vulnerabilidad recientemente solucionada en uno de los últimos boletines de Microsoft (abril 2008). Debido a la naturaleza del problema, aconsejamos a quienes no lo hayan hecho aún, actualizar sus sistemas a la brevedad posible.

El problema, un desbordamiento de búfer, ocurre en la interfase de dispositivo gráfico de Microsoft Windows (GDI), y está relacionada con archivos Windows Metafile (WMF) y Enhanced Metafile (EMF), formatos de imágenes utilizados principalmente por el sistema operativo Windows.

Esta vulnerabilidad permite la ejecución remota de código, y ya existe al menos un exploit público, un archivo .JPG que descarga otro con extensión .GIF, que en realidad es un troyano. Cuando es abierto, utiliza el Internet Explorer (iexplore.exe), para intentar conectarse a un sitio en China, supuestamente para descargar otros malwares.

Aunque no hay muchos reportes de este exploit, e inclusive las muestras obtenidas parecen no funcionar correctamente, en realidad no es aventurado decir que puede ser cuestión de horas que el mismo sea mejorado, y utilizado por alguna clase de código malicioso para propagarse masivamente.

Tenga en cuenta que el exploit puede activarse con solo visualizar una página Web, ya que el Internet Explorer, en su configuración por defecto, como resultado de esa visualización, puede iniciar automáticamente el Windows Picture y el Fax Viewer, que son vectores conocidos de ataque, desde donde se iniciaría la ejecución de un código remoto.

La instalación de la actualización de seguridad MS08-021 impide la acción de esta clase de exploits, protegiendo al usuario de esta amenaza.

El filtrado de extensiones WMF o EMF, así como el tipo MIME "application/x-msMetafile", no bloquean todos los vectores de ataque conocidos para esta vulnerabilidad (los tipos MIME controlan los tipos de archivos multimedia que son compatibles con el sistema).

Fuente