Zero day en Internet Explorer permite robar archivos de un PC con Windows

La vulnerabilidad reside en la forma en que Internet Explorer procesa los archivos MHT. MHT significa MHTML Web Archive y es el estándar predeterminado en el que todos los navegadores IE guardan páginas web cuando un usuario pulsa el comando CTRL + S (Guardar página web). Los navegadores actuales ya no guardan páginas web en […]

La vulnerabilidad reside en la forma en que Internet Explorer procesa los archivos MHT. MHT significa MHTML Web Archive y es el estándar predeterminado en el que todos los navegadores IE guardan páginas web cuando un usuario pulsa el comando CTRL + S (Guardar página web).

Los navegadores actuales ya no guardan páginas web en formato MHT, y utilizan el formato de archivo HTML estándar; sin embargo, algunos navegadores modernos aún admiten el procesamiento del formato.

XEE en IE 11

El investigador de seguridad John Page publicó detalles sobre una vulnerabilidad de XEE (entidad externa XML) en IE que puede ser explotada cuando un usuario abre un archivo MHT.

“Esto puede permitir a los atacantes remotos exfiltrar archivos locales y realizar reconocimientos remotos en la información de la versión del programa instalada localmente”, dijo Page. “Por ejemplo, una solicitud de ‘c: \ Python27 \ NEWS.txt’ puede devolver la información de la versión de ese programa”.

Debido a que en Windows todos los archivos MHT se configuran automáticamente para abrirse de manera predeterminada en Internet Explorer, explotar esta vulnerabilidad es algo común, ya que los usuarios solo necesitan hacer doble clic en un archivo que recibieron por correo electrónico, mensajería instantánea u otro vector.

Page dijo que el código vulnerable actual se basa en cómo Internet Explorer maneja CTRL + K (pestaña duplicada), “Vista previa de impresión” o comandos de usuario “Imprimir”.

Esto normalmente requiere alguna interacción del usuario, aunque esta interacción podría ser automatizada y no necesaria para desencadenar la cadena de explotación de vulnerabilidades. Una simple llamada a la función window.print () de Javascript debería hacer el truco sin requerir la interacción del usuario con la página web. Además, el sistema de alerta de seguridad de Internet Explorer también se puede desactivar.

Cuando se crean instancias de Objetos ActiveX como ‘Microsoft.XMLHTTP’, los usuarios obtendrán una barra de advertencia de seguridad en IE y se les pedirá que activen el contenido bloqueado. “Sin embargo, al abrir un archivo .MHT especialmente diseñado con etiquetas de marcado <xml> maliciosas, el usuario no obtendrá contenido activo o advertencias en la barra de seguridad “.

Exploits en Win 7, 10 y Win Server 2012

Page dijo que probó con éxito la vulnerabilidad en el último explorador de Internet Explorer v11 con todos los parches de seguridad recientes en los sistemas Windows 7, Windows 10 y Windows Server 2012 R2.

Probablemente, la única buena noticia sobre la divulgación de esta vulnerabilidad es el hecho de que la única vez que dominaba la cuota de mercado de Internet Explorer ahora se ha reducido a un escaso 7.34 por ciento, según NetMarketShare, lo que significa que el navegador rara vez se usa.

Windows al usar IE como la aplicación predeterminada para abrir archivos MHT, los usuarios no necesariamente tienen que tener configurado IE como su navegador predeterminado, y siguen siendo vulnerables siempre y cuando IE todavía esté presente en sus sistemas, y son engañados en abrir un archivo MHT.

Microsoft: ”Parchar?.. Nah!”

Page dijo que notificó a Microsoft sobre esta nueva vulnerabilidad de IE el 27 de marzo, pero el proveedor se negó a considerar el error de una solución de seguridad urgente en un mensaje enviado al investigador ayer, 10 de abril.

“Determinamos que una solución para este problema se considerará en una versión futura de este producto o servicio”, dijo Microsoft, según Page. “En este momento, no proporcionaremos actualizaciones continuas del estado de la solución para este problema, y ​​hemos cerrado este caso”.

Tras la firme respuesta de Microsoft, el investigador dio a conocer detalles sobre el día cero en su sitio, junto con un código de prueba de concepto y una demostración de YouTube.