Trend Micro revela una vulnerabilidad de Microsoft Jet sin parches

Trend Micro ha revelado una nueva vulnerabilidad de Microsoft Jet que aún no está parcheada. La vulnerabilidad afecta a todas las ediciones de servidores y sistemas operativos Windows compatibles.

La iniciativa Zero Day de Trend Micro funciona mediante la identificación de errores y su notificación a los proveedores de software en un marco de tiempo para solucionarlo. El marco de tiempo generalmente se establece en 120 días antes de que la vulnerabilidad se divulgue públicamente. El grupo informó sobre la vulnerabilidad a Microsoft el 8 de mayo y les dio 120 días para solucionarlo, después de lo cual la vulnerabilidad se hizo pública. El grupo también compartió la Prueba de concepto (PoC) en GitHub con los detalles relacionados con la vulnerabilidad.

La vulnerabilidad es una falla de escritura fuera de los límites que puede activarse al abrir una fuente Jet a través de un componente de Microsoft conocido como base de datos de vinculación e incrustación de objetos (OLEDB).

La falla específica existe dentro de la gestión de índices en el motor de base de datos Jet. Los datos manipulados en un archivo de base de datos pueden desencadenar una escritura más allá del final de un búfer asignado.

– Tendencia Micro

Microsoft ha aceptado la vulnerabilidad y se espera que implemente una solución en octubre. Mientras tanto, 0patch ha confirmado un microparche para usuarios de Windows 7.

7 horas despues @thezdi ha publicado detalles sobre esta vulnerabilidad explotable de forma remota sin parches en Jet Database Engine, tenemos un candidato a microparche en Windows 7. Más información sobre esta vulnerabilidad y nuestro microparche pronto. https://t.co/cSuIf5nubp

— 0parche (@0parche) 20 de septiembre de 2018

Por ahora, Trend Micro recomienda no abrir archivos adjuntos de fuentes no confiables que puedan contener un código malicioso. Security Research Lucas Leong ha sido acreditado con el descubrimiento de la vulnerabilidad.

Vía: ZDNet