Hola que tal a todos, espero se encuentren bien y muchas gracias por visitar este blog. Recientemente hemos hablado de vulnerabilidades que están apareciendo en Linux (algunas bastante graves como CopyFail), otras encontradas recientemente y que datan desde hace casi dos décadas.

  No es el objetivo desprestigiar a Linux, por el contrario, me parece un estupendo sistema operativo; pero nada es perfecto. Y creo que sería algo injusto criticar a Linux por permitir un fallo desde hace tanto tiempo (y que nadie se había dado cuenta) y no poner un ejemplo similar desde su competidor como lo fue en su momento Windows XP con un fallo presente al menos por una década sin que tampoco nadie se diera cuenta.

La vulnerabilidad WMF en Windows XP:

  A finales de 2005 se descubrió una de las vulnerabilidades más graves que afectó a Microsoft Windows XP y otras versiones del sistema operativo Windows. El problema estaba relacionado con el manejo de archivos WMF (Windows Metafile), un formato gráfico utilizado por Windows para almacenar imágenes vectoriales y mapas de bits.

  La vulnerabilidad permitía que un atacante ejecutara código arbitrario en una computadora simplemente logrando que la víctima abriera o visualizara una imagen especialmente manipulada. Lo más preocupante era que, en muchos casos, ni siquiera era necesario abrir explícitamente el archivo. Bastaba con que el Explorador de Windows generara una vista previa de la imagen o que un navegador mostrara una página web que contuviera el archivo malicioso (un esquema ampliamente utilizado por muchos malware de finales de los 90's o comienzos del 2000).

  El origen del fallo se encontraba concretamente en la biblioteca del sistema GDI32.DLL, encargada de procesar gráficos en Windows. Los archivos WMF podían incluir instrucciones especiales conocidas como "Escape", diseñadas originalmente para interactuar con impresoras y otros dispositivos gráficos. Entre estas instrucciones existía una función heredada llamada SETABORTPROC que puede rastrearse hasta la era de Windows 3.x (80's y 90's) la cual tenía una característica que podía ser aprovechada para ejecutar código malicioso cuando el sistema procesaba una imagen WMF manipulada.

  Cabe aclarar que esta vulnerabilidad solo podía explotarse en sistemas operativos recientes (2000, XP, etc) porque, aunque la librería había sido heredada desde hacía al menos una década, con el paso de los años fue recibiendo mejoras pero manteniendo cierta herencia con el código original. Entonces, aunque ya era "técnicamente" ya era una librería actualizada, estaba basada en un proyecto que en su momento no presentó problemas porque no se dieron las condiciones apropiadas para explotarlo.

  Los ciberdelincuentes reaccionaron rápidamente como siempre a este anuncio: en cuestión de horas comenzaron a aparecer sitios web infectados que distribuían troyanos, puertas traseras y otros tipos de malware utilizando esta vulnerabilidad. Los usuarios podían infectarse al visitar una página web comprometida, abrir un correo electrónico con una imagen maliciosa o incluso al indexar archivos mediante aplicaciones de búsqueda de escritorio aprovechando vulnerabilidades como la de Internet Explorer que permitía ejecutar códigos dentro de documentos con solo previsualizarlos, pero también otras aplicaciones capaces de procesar imágenes WMF que no validaran correctamente estos archivos se volvían vulnerables y convertirse en una vía de ataque.

Consecuencias:

  Microsoft preparó a toda prisa una solución oficial que llegó a inicios de 2006 corrigiendo el problema , mientras tanto se recomendaba deshabilitar el Visor de imágenes y fax de Windows o instalar parches temporales para contener el problema. Y aunque se resolvió el problema sin duda puso en serias dudas la protección y refuerzos que Microsoft pudiera haber implementado en XP.

Conclusiones:

  Sabemos que ningún software es perfecto y más en el caso de sistemas operativos, estos tienden a ser programas super complejos, por lo que es natural que se cuelen errores. Por otra parte, es "normal" que se herede código de hace una década o más y solo se vaya adaptando a las necesidades conforme pasa el tiempo, lo que puede provocar que se introduzcan vulnerabilidades que de momento podrían no aparecer pues no existen las condiciones adecuadas para que se disparen.

  Pero eso no quiere decir que en 10 o 20 años no se puedan presentar situaciones no contempladas tiempo atrás y ahora si esa vulnerabilidad saldrá a relucir. Pues eso es lo que ha pasado en el caso de Linux con vulnerabilidades recientes heredadas de código antiguo y en su momento ocurrió también con Windows XP y su dependencia de código heredado de Windows 3.x.

Muchas gracias por leer este artículo, nos leeremos en una próxima publicación muy pronto.