Office XP, Historia de una Vulnerabilidad Crítica

El equipo de investigación de Secunia descubrió el pasado Agosto de 2008 una vulnerabilidad en el manejo de la tabla de colores (paleta) de las Imágenes BMP en el Software Microsoft Office XP.

Esta vulnerabilidad del tipo Desbordamiento del Buffer de Memoria, permitiría a personas maliciosas crear Imágenes de Mapa de Bits para Windows (.BMP) con código ejecutable que en el momento que Office Procesara el Numero de Colores contenidos en la Imagen explotaria una Vulnerabilidad en el Manejo de un Valor Numerico de Tipo Entero, esta operación anexaría código malicioso al Programa de Office en Ejecución ya sea Word, Excel, Power Point, etc.  Modificando la conducta del mismo, permitiendo en este paso la infección de algún Virus o aplicación Troyana en el Sistema.

El Investigador Carsten Eiram de la Empresa de Seguridad Secunia fue quien descubrió esta falla.

Tabla cronológica

• 15/08/2008 – El Vendedor (Microsoft) fue notificado de la falla encontrada.
• 15/08/2008 – Secunia recibe respuesta por parte del vendedor.
• 21/08/2008 – El Vendedor entrega un Reporte de Estado.
• 04/09/2008 – Se entrega información adicional al Vendedor.
• 04/09/2008 – se Recibe respuesta del Vendedor.
• 17/09/2008 – se entrega información adicional al Vendedor.
• 26/09/2008 – se entrega información adicional al Vendedor.
• 26/09/2008 – Respuesta del Vendedor.
• 16/01/2009 – se Recibe una Actualización de estado del Vendedor.
• 20/02/2009 – se Recibe una Actualización de estado del Vendedor.
• 24/04/2009 – se Recibe una Actualización de estado del Vendedor.
• 14/10/2009 – se Hace del Conocimiento Publico los detalles de esta Vulnerabilidad.

Para conocer más detalles visita http://secunia.com/secunia_research/2008-37/

Es importante mencionar que como regla general las empresas de investigación de fallos como lo es Secunia como procedimiento común deben Informar al Vendedor del Software sobre los fallos de Seguridad detectados y dar un periodo de tiempo para que la falla quede resuelta por el Vendedor antes de divulgar públicamente los detalles de la Vulnerabilidad.

 
NOTA IMPORTANTE: ES MÁS IMPORTANTE TENER NUESTROS SISTEMAS ACTUALIZADOS QUE EL TENER UN ANTIVIRUS O FIREWALL PERSONAL.