Stewart

Bueno, para variar un exploit mas para los sistemas operativos Windows, aparte del exploit relacionado a Internet explorer posiblemente responsable del ataque a los servidores de Google China.

Microsoft está investigando reportes públicos sobre una posible denegación de servicio causada por una vulnerabilidad en el protocolo SMB. Esta vulnerabilidad no puede ser utilizada para tomar el control de un sistema o instalar software malicioso en el sistema del usuario. De todas formas, Microsoft está al tanto de un exploit público disponible para la vulnerabilidad. Microsoft no ha tenido conocimiento de ataques activos del exploit o impacto en usuarios hasta el momento. Microsoft está monitorizando la situación para mantener a los usuarios informados y proveer una solución de ser necesario.

El fallo reside en el soporte heredado de aplicaciones de 16 bits. No se valida correctamente el cambio de contexto y pila que se efectúa al llamar al manejador GP trap. Windows comete algunos errores y asume incorrectamente que:

* Se requiere el privilegio SeTcbPrivilege para configurar un contexto VDM (Virtual DOS Machine) .

* Código en ring3 no puede instalar selectores de segmento de código arbitrarios. Usando el modo Virtual-8086, es posible.

* Código alojado en el ring3 (espacio de usuario) no puede falsificar un “trap frame”.

El exploit funciona, lo buenom que es simple de desactivarlo, por lo que se debera deshabilitar la opcion de soporte para aplicaciones antiguas de 16Bits.

Los pasos son los siguientes:

Desde la consola de políticas (gpedit.msc) abrir “Configuración de equipo”, “Plantillas administrativas”, “Componentes de Windows”, “Compatibilidad de aplicación” y habilitar la política “Impedir el acceso a aplicaciones de 16 bits”. Es importante asegurarse de que es aplicada a los sistemas que dependen del controlador de dominio, forzando una actualización de políticas.

Los vídeos publicados con cómo realizar esto (en inglés) desde la consola de políticas y aplicarlo a todos los clientes de un Directorio Activo están disponibles desde:

Windows Server 2003:

http://www.youtube.com/watch?v=XRVI4iQ2Nug

Windows Server 2008

http://www.youtube.com/watch?v=u8pfXW7crEQ

Para Windows XP:

http://www.youtube.com/watch?v=u7Y6d-BVwxk

Para sistemas más antiguos, NT4, aquí se explica cómo deshabilitar esta funcionalidad:

http://support.microsoft.com/kb/220159

Este es un grave revés para Microsoft