En Halloween Google ha dado un buen susto a Microsoft, haciendo pública una vulnerabilidad no resuelta que afectaría a Microsoft Windows y podría permitir a una elevación de privilegios en el sistema y usarlos para eludir la 'sandbox' de seguridad. El error podría activarse a través de una llamada a la función del sistema 'NtSetWindowLongPtr' para el índice 'GWLP_ID' en un manejador de ventanas con 'GWL_STYLE' establecido a 'WS_CHILD'.

Los de Mountain View, después de alertar sobre esta vulnerabilidad de manera privada a Microsoft el pasado 21 de Octubre, han decidido hacerla públicaa pesar de no existir una solución por parte del fabricante. Además, aprovechan para confirmar que su navegador Chrome bloquea las llamadas al sistema win32k.sys mediante la mitigación de bloqueo de Win32k en Windows 10, lo que previene de la explotación de esta vulnerabilidad para eludir la 'sandbox'.

No es la primera vez que esto ocurre. En Enero de 2015, Google hizo públicasdos vulnerabilidades para Windows 8.1 antes de que Microsoft las hubiese solucionado. En esta ocasión la gravedad es aun mayor puesto que la vulnerabilidad está siendo explotada activamente.

Muchos expertos, y la propia Microsoft, opinan que hacer público este tipo de información supone aumentar el riesgo para los usuarios de dichos sistemas. Otros, como se presume en el caso de Google, consideran que supone una mayor amenaza esperar al siguiente ciclo de actualizaciones para solucionar estos problemas graves que además están siendo aprovechados.

Cabe destacar que ese mismo día, desde Google se alertó de la vulnerabilidad con identificador CVE-2016-7855 que afectaba a Adobe Flash, y que existeun parche disponible desde el 26 de Octubre, apenas 5 días después del aviso.

¿Los usuarios de Windows tendrán que esperar hasta el segundo martes de Noviembre para que sus sistemas dejen de ser vulnerables? ¿O Microsoft liberará un parche fuera de ciclo para solventar este grave error de seguridad?

Elevación de privilegios en Windows 8.1

una-al-dia (26/10/2016) Actualización de Adobe Flash Player para evitar un 0-day

Juan José Ruiz