Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
07/01/2015
Se publica una vulnerabilidad de día cero en Windows
La vulnerabilidad ha sido publicada por el equipo Project Zero de Google, que se dedica a buscar vulnerabilidades en software de uso común y reporta las vulnerabilidades encontradas a los fabricantes para que puedan solucionar los problemas detectados.Esta vulnerabilidad fue descubierta el pasado 30 de septiembre, y liberada públicamente el pasado 29 de diciembre tras pasar los 90 días que Google pone de plazo para corregir las vulnerabilidades encontradas por el equipo de Project Zero.
La vulnerabilidad reside en la función NtApphelpCacheControl, que no comprueba de forma adecuada el usuario que realiza la llamada, permitiendo otorgar privilegios de administración a procesos que no tienen dichos privilegios.
La vulnerabilidad ha sido probada en Windows 8.1 y para explotar esta vulnerabilidad es necesario tener acceso local y un usuario válido en el sistema atacado.
Sistemas Afectados:Windows 8.1
Referencias:None
Solución:Aún no se ha publicado ninguna solución. Se espera que se publique el próximo martes dentro de los boletines del mes de enero.
Notas:Google Security Research: Issue #118