Una empresa rusa afirma que se le ocurrió una forma de deshabilitar una medida de seguridad en Microsoft Win XP Service Pack 2, la principal actualización de seguridad de Windows que se lanzó en agosto pasado y está destinada a mantener a los usuarios a salvo de vulnerabilidades y ataques de piratas informáticos.
El equipo de MaxPatrol descubrió que era posible derrotar el mecanismo de protección de montón y prevención de ejecución de datos de SP2. Esto significa que un posible atacante podría insertar código falso en la memoria de una PC y engañar a Windows para que ejecute el programa. El montón es una región de espacio de direcciones reservada de al menos una página desde la que el administrador del montón puede asignar dinámicamente memoria en partes más pequeñas. El administrador de montón está representado por un conjunto de funciones para la asignación / liberación de memoria que se localizan en dos lugares: ntdll.dll y ntoskrnl.exe. La manipulación de las listas de mirar aparte no supone ninguna verificación de la cordura del encabezado, ni siquiera hay una simple verificación de cookies allí. ¿Qué, teóricamente, da como resultado la posibilidad de sobrescribir hasta 1016 bytes en una ubicación de memoria arbitraria y es posible implementar DEP (Prevención de ejecución de datos) omitir y ejecutar código arbitrario?
La compañía notificó a Microsoft sobre el problema el 22 de diciembre, pero aparentemente decidió no esperar a que el gigante del software corrigiera las fallas y desarrolló una utilidad simple llamada PTmsHORP, que permite restringir la creación de listas de mirar aparte, gobernada por una bandera global especial. El programa muestra una lista de aplicaciones que ya tienen esta bandera configurada. Para activar esta bandera de seguridad para otras aplicaciones, solo necesita agregar el nombre del archivo ejecutable a la lista. En cualquier momento puede revisar o modificar la lista de aplicaciones protegidas ejecutando PTmsHORP nuevamente. El programa se puede descargar desde aquí