Con el apoyo de lBM, Microsoft ha corregido una vulnerabilidad crítica de Windows que pasó desapercibida por casi dos décadas.
Este bug ha estado en cada versión de Windows, desde Windows 95, y permitía a un atacante poder correr código de manera remota cuando el usuario visite un sitio malicioso. El investigador de IBM, Robert Freeman describió la vulnerabilidad como “Un bug demasiado raro en código, en el que Internet Explorer confiaba, pero al que no pertenecía”
De acuerdo con Freeman, este bug se poyaba en una vulnerabilidad en VBScript, la cual fue introducida en Internet Explorer 3.0. Incluso hoy día, dicho bug era impenetrable ante las herramientas anti-explotación de Microsoft y de las características de Internet Explorer 11.
Las buenas noticias es de que no existe evidencia de alguien esté utilizando esta vulnerabilidad, y hacerlo sería técnicamente complicado. IBM reportó este problema en mayo, y ahora se hace público que el parche ya se encuentra disponible.
Por supuesto, que esta corrección solamente aplica a Windows Vist o una versión superior, ya que el apoyo a Windows XP terminó en el mes de abril. Así que si usas un sistema operativo con 13 años de antigüedad, tendrás que aguantar a un bug crítico que es incluso más viejo.
Por qué esto importa: Tal como IBM señala, el descubrimiento demuestra como las vulnerabilidades significantes pueden evadir detección por muchos años. Pero también señala una vulnerabilidad, – una que involucra la manipulación arbitrara de los datos – que es poco común. IBM advierte que podrían existir otros bugs que aún no han sido descubiertos, con múltiples técnicas de explotación para los atacantes para instalar keyloggers, screen grabbers y herramientas de acceso remoto. Los usuarios se pueden sentir afortunados de que este fue descubierto, eventualmente.