Leo en Kriptopolis, un artículo, donde describen un grave problema de seguridad en Windows Vista.
Y lo peor es que se trata de un error, digamos que de base, de tal forma que la posible solución no es fácil, ni sencilla de implantar. De momento Microsoft no ha dicho nada, imagino que algo estarán tratando de solucionar antes de contestar.
El problema parece que surge, porque Vista considera que las librerias .Net son seguras por si. Algunos investigadores de IBM y VMware, han podido introducir código malicioso en dichas librerías y de ahí a tomar el control de un PC con Vista, solo hay un paso.
Si Microsoft no responde pronto, me veo volviendo a XP, pero ahora por un motivo justificado, ya que la amenaza parece lo bastante grave para justificarlo.
10 Comentarios
Comentarios Cerrados
En Ars Technica comentan la noticia sin tanto alarmismo. Al parecer lo que han conseguido es saltarse las protecciones contra desbordamiendo de buffer que trae Vista (ALSR y DEP), por lo que, en el peor de los casos, estaríamos con los mismos problemas en Vista que en XP a la hora de usar un navegador web. Citando de Ars Technica:
“The work done by Dowd and Sotirov focuses on making buffer overflows that were previously not exploitable on Vista exploitable. These are buffer overflows that would be exploitable on Windows XP anyway; after all, there’s no need to defeat ASLR if an OS does not have ASLR at all.”
En Ars Technica dicen que lo que no han conseguido es saltarse UAC ni el modo protegido de IE, mientras por otro lado he leído que se produce una escalada de privilegios total en la máquina.
Es muy grave, pero, vamos, de ahí a volver a XP… Básicamente, si se puede saltar las protecciones de Vista, en XP, que no las tiene, estaremos peor.
En fin, a ver si desde Microsoft dicen algo pronto.
Cubano, el problema es que hacen barcos con fisuras en el casco. Han vendido el sistema como el mejor en temas de seguridad y ya empieza a hacer aguas por algunos lados. Tecnicamente son denuncialbes por publicidad engañosa.
Vista y XP son distintos, cada uno tiene su seguridad. XP puede ser parcheado y apañado para cosneguir unos niveles de seguridad aceptables (y solamente aceptables), pero, tener que esperar unos cinco años para tener más o menos en marcha un sistema no es de recibo, y no va a ser por falta de recursos. Un desbordamiento de buffer puede provocar cosas muy curiosas si no tienes el sistema de memoria bien apañado.
El código de Vista es cerrado, por lo que en cuestión de manejo de memoria tenemos que confiar en lo que dice Microsoft, y de momento vemos que mienten.
Para mi la noticia no es alarmista, es sincera: se demuestra que Microsoft mentia cuando nos prometia un sistema seguro (aunque que Microsoft mienta no es noticia).
La noticia es alarmista si la noticia dice (como dice Fernando Acero en Kriptopolis) que por conectarte con Vista a internet te la van a meter hasta el fondo, lo que es falso.
La noticia desde luego que es grave. Pone en entredicho algunos de los elementos de seguridad más publicitados de Vista y que deben protegernos de los bugs de otras aplicaciones. Como dije antes, espero que Microsoft dé una respuesta a esto pronto.
Por cierto, los ponentes usaron una vulnerabilidad ya parcheada para hacer su demostración.
No se de que coño os extrañais (y perdonad la palabrota), yo hace años que tengo asumido que no se puede trabajar con Windows, sea la versión que sea. Sólo lo uso para “hacer el tonto” (transformar vídeos, TV Versity, servidor Emule, etc). Para todo lo demás OSX o Linux.
“… me veo volviendo a XP, pero ahora por un motivo justificado…”
Yo te veo unas ganas locas de abandonar el Vista como sea, y esta ya es la razón perfecta.
ArsTechnica ya no es lo que era… antes tenia una seriedad y una independencia de la que ya no goza desde que fue adquirida por Conde Nast… ahora hay que proteger ciertas inversiones publicitarias de ciertas compañias…
Cubano, si un respetado experto como Bruce Schneier dice que el tema es muy , pero que muy serio… le haré más caso a él o al cubano?
Por cierto, Fernando Acero es una persona muy seria y los errores comentidos los ha corregido en los comentarios… lo que estas diciendo, basiscamente que miente, aquí, y no allí… que quieres que te diga, me parece cobarde e irrespetuoso… es más, yo te digo que si tí dices que Fernando miente, el que miente erés tú… porque mira que ha matizado y ampliado el tema en os comentarios…
Saludos
1) Yo no sé si miente o se ha equivocado. Y no comento en Kriptopolis porque estoy comentando una entrada del Tendero, y eso implica hablar de sus fuentes. Yo lo que digo es que en el artÃculo de Kriptópolis citado en esta entrada, el autor da a entender que, mediante las técnicas mostradas por Sotirov y Dowd, al conectarte a internet con Vista te pueden meter cualquier programa o archivo o hacerse con el control de tu máquina.
2) En una minientrevista a Sotirov, éste dice: “It still requires the attacker to have a vulnerability. Without the presence of a vulnerability these techniques donâ??t really [accomplish] anything. We used the ANI cursor vulnerability that had been patched.” O sea, que sin vulnerabilidad, no pasa nada. En el artÃculo citado de Kriptopolis esto no lo he encontrado. La entrevista, en http://blogs.zdnet.com/Bott/?p=513
3) En ningún momento he dicho que no sea serio el asunto. Veremos qué pasa en las próximas semanas, conforme expertos en el tema estudien con calma la documentación de Sotirov y Dowd.
Me reitero… lee antes todo lo que ha dicho Fernando, antes de hablar… te has quedado solo con la noticia… y no has leído los comentarios… dice eso que dices tú y muchísimo más…
Vulnerabilidades en el explorer, las que quieras… hay un buen montón de ellas sin parchear aún y varios exploits si sabes buscar (no haré aquí publicidad de páginas que TODOs los días públican exploits de todo tipo para explotar vulnerabilidades)… por vulnerabilidades no será, eso seguro…
Y si quieres leer la documentación de Sotirov y Dowd, te la proporciona también Fernando, que si que se la ha leído… lee los comentarios, como hemos hecho algunos…
Saludos
Tienes razón, desde que publiqué el comentario aquí (en su momento, antes de hacerlo, me leí el artículo de Acero y las siete páginas que había de comentarios, no creas). He encontrado un par de comentarios de un Anónimo que explican muy bien el tema (posteriores a mi primer comentario aquí y he de reconocer que hoy no he seguido los comentarios del artículo). En todo caso, Acero no ha corregido el artículo principal, ni añadido ninguna nota sobre las correcciones y aclaraciones que hay en los comentarios y el artículo es lo que la mayor parte de la gente va a leer…
Bueno, ya tengo más claro en qué consiste el trabajo de Sotirov y Dowd y… otras cosas.
Un poco de coña un poco en serio, pero desde hoy vuelvo a confiar en tu veracidad tendero, porque con un par de post tuyos sobre las bondades de vista ya no sabía que pensar aunque en realidad nunca hubiera dudado de ti, pero cuando la opiniones sobre algo son tan encontradas y no le encuentras sentido te dan que pensar.
En cuanto a Microsoft poco más nos tienen que enseñar, si los humanos trompezamos 2 veces con la misma piedra ellos 100 y por ahora no tienen viso de solucionar su problema de adaptación a los tiempos que vivimos…ellos sabrán, seguramente piensen que gracias al monopolio que tienen no tendrán problemas en el futuro, o están tan ciegos que son incapaces de ver más alla de su propio ombligo, mejor para la competencia.