Un grupo de investigadores de seguridad promete denunciar públicamente todas las vulnerabilidades del sistema operativo Microsoft Windows 7. Un grupo de investigadores de seguridad ha lanzado públicamente los detalles y el código del exploit de una vulnerabilidad actualmente existente sin parche en Windows 7 y que permite escalar privilegios localmente. Los investigadores declararon abiertamente que van contra Microsoft, precisamente en respuesta a la forma en que Microsoft ha tratado a Tavis Ormany, el ingeniero de Google que fue acusado por Microsoft de divulgar un importante error de Windows públicamente el mes pasado. El aviso de una nueva vulnerabilidad afecta a Windows Vista y Windows 2008 Server lleva añadido un manifiesto interesante que dice:
"Debido a la hostilidad desarrollada por Microsoft hacia los investigadores de seguridad, y con el ejemplo más reciente de ataque a Tavis Ormandy, varios de nosotros de la industria (y algunos no de la industria) nos hemos unido para formar el MSRC: The Microsoft-Spurned Researcher Collective. El MSRC estará plenamente dedicado a divulgar cualquier información sobre vulnerabilidades descubiertas en nuestro tiempo libre, y libre de represalias contra nosotros o cualquier empleado".
El nombre MSRC es un juego de palabras claramente dirigidas a Centro de Respuesta de seguridad de Microsoft (MSRC), mientras que Tavis Ormandy es el ingeniero del Centro de Ayuda Google que reveló la grave vulnerabilidad de Windows XP que está siendo explotada. El ingeniero Ormandy ha se ha creado una fuerte enemistad con Microsoft, que esta que arde de rabia, y también la de otros en la comunidad de seguridad por la publicación de los detalles de una vulnerabilidad sin parche crítico en el dominio público. De acuerdo a Security Focus, el error expuesto por el llamado "Microsoft-Spurned Researcher Collective" puede llevar a una escalada local de privilegios.
"Un atacante puede explotar este problema para ejecutar un código arbitrario con privilegios a nivel del núcleo, sin embargo, esto no ha sido confirmado. Los sucesivos exploits pueden dar lugar con éxito a operaciones completas de los equipos afectados," se lee en Security Focus.
Los investigadores de seguridad molestos con Microsoft, pero están contentos de poder denunciar públicamente estos graves fallos porque saben que irritan profundamente a la Empresa de Redmon. Por ejemplo, han tenido el detalla de comunicarle a Microsoft donde esta el problema y le han dado la solución: localizar el HKCU \ Microsoft \ Windows \ CurrentVersion \ clave del Registro de Seguridad y cambiar el "OurJob" por el valor booleano false.
Incluso han abierto una dirección de correo electrónico para que otras personas dispuestas a unirse a la causa puedan contactar con ellos. En noticias relacionadas con graves fallos de Microsoft, otras dos vulnerabilidades han sido divulgadas en la última semana. Una se encuentra en mshtml.dll y en el exploit que conduce a una condición de pérdida de memoria. De acuerdo con Rubén Santamarta, el investigador de seguridad que lo descubrió, el defecto afecta a Internet Explorer 8 en Windows XP, Vista y 7 32/64 bits, y es potencialmente peligroso porque se puede aprovechar para eludir ASLR y DEP.
El segundo error afecta a Internet Information Services (IIS) 5.1, el famoso servidor web de Microsoft y se puede utilizar para eludir restricciones de seguridad del servidor de forma remota. El descubrimiento de esta vulnerabilidad se le atribuye a un investigador de seguridad llamado Soroush Dalili, que publico los detalles completos del exploit en su blog. Bueno, no se como decirlo, pero todos los que amáis el Internet Explorer, deberíais de probar el Firefox, aun con sus fallos ocasionales, que son rápidamente comunicados y solucionados, a diferencia de los de Microsoft, que se los deben de destapar un grupo de furiosos investigadores por la mala aptitud que tiene Microsoft de ocultarnos la verdad.
El nombre MSRC es un juego de palabras claramente dirigidas a Centro de Respuesta de seguridad de Microsoft (MSRC), mientras que Tavis Ormandy es el ingeniero del Centro de Ayuda Google que reveló la grave vulnerabilidad de Windows XP que está siendo explotada. El ingeniero Ormandy ha se ha creado una fuerte enemistad con Microsoft, que esta que arde de rabia, y también la de otros en la comunidad de seguridad por la publicación de los detalles de una vulnerabilidad sin parche crítico en el dominio público. De acuerdo a Security Focus, el error expuesto por el llamado "Microsoft-Spurned Researcher Collective" puede llevar a una escalada local de privilegios.
"Un atacante puede explotar este problema para ejecutar un código arbitrario con privilegios a nivel del núcleo, sin embargo, esto no ha sido confirmado. Los sucesivos exploits pueden dar lugar con éxito a operaciones completas de los equipos afectados," se lee en Security Focus.
Los investigadores de seguridad molestos con Microsoft, pero están contentos de poder denunciar públicamente estos graves fallos porque saben que irritan profundamente a la Empresa de Redmon. Por ejemplo, han tenido el detalla de comunicarle a Microsoft donde esta el problema y le han dado la solución: localizar el HKCU \ Microsoft \ Windows \ CurrentVersion \ clave del Registro de Seguridad y cambiar el "OurJob" por el valor booleano false.
Incluso han abierto una dirección de correo electrónico para que otras personas dispuestas a unirse a la causa puedan contactar con ellos. En noticias relacionadas con graves fallos de Microsoft, otras dos vulnerabilidades han sido divulgadas en la última semana. Una se encuentra en mshtml.dll y en el exploit que conduce a una condición de pérdida de memoria. De acuerdo con Rubén Santamarta, el investigador de seguridad que lo descubrió, el defecto afecta a Internet Explorer 8 en Windows XP, Vista y 7 32/64 bits, y es potencialmente peligroso porque se puede aprovechar para eludir ASLR y DEP.
El segundo error afecta a Internet Information Services (IIS) 5.1, el famoso servidor web de Microsoft y se puede utilizar para eludir restricciones de seguridad del servidor de forma remota. El descubrimiento de esta vulnerabilidad se le atribuye a un investigador de seguridad llamado Soroush Dalili, que publico los detalles completos del exploit en su blog. Bueno, no se como decirlo, pero todos los que amáis el Internet Explorer, deberíais de probar el Firefox, aun con sus fallos ocasionales, que son rápidamente comunicados y solucionados, a diferencia de los de Microsoft, que se los deben de destapar un grupo de furiosos investigadores por la mala aptitud que tiene Microsoft de ocultarnos la verdad.
