Microsoft Windows 8.1 e versões anteriores vulneráveis à vulnerabilidade de injeção XMLDOM XML no Internet Explorer 6 a 11

Cert-In, a Equipe de Resposta a Emergências de Computadores da Índia, alertou que o Microsoft Windows 8.1 e suas versões anteriores estão em risco devido a uma vulnerabilidade que existe no controle ActiveX XMLDOM. A vulnerabilidade pode ser executada através do Internet Explorer versão 6 a 11. Hackers/atacantes podem aproveitar essa vulnerabilidade para injetar um código XMLDOM XML e obter as informações pessoais dos usuários do PC Windows ou transformar o PC Windows em um computador zumbi para participar de um ataque DoS ou DDoS em sites.

Embora a vulnerabilidade tenha sido marcada como severa pelo Cert-In, um pesquisador da CXSecurity afirmou que isso pode ser uma vulnerabilidade de nível médio-baixo. Estou reproduzindo todo o código fornecido pelo pesquisador da CXSecurity :

o código acima é impresso cortesia cxsecurity.com

Ambas as vulnerabilidades foram classificadas como:

1. Vulnerabilidade de divulgação de informações (CVE-2013-7331)

• Essa vulnerabilidade existe porque o controle ActiveX XMLDOM contém métodos que podem vazar informações sobre um sistema de computador para o operador de um site. Um atacante remoto poderia explorar essa vulnerabilidade para obter informações sensíveis, como letras de unidades locais, arquivos e nomes de diretórios, persuadindo um usuário a visitar uma página da web especialmente elaborada e examinando os códigos de erro gerados.*
• Cert-in disse que essa vulnerabilidade está sendo explorada na natureza, mas a CXSecurity afirma que isso pode levar apenas a uma exploração marginal.

2. Vulnerabilidade de negação de serviço (CVE-2013-7332)

• Essa vulnerabilidade existe devido à detecção inadequada de recursão durante a expansão de entidades. Um atacante remoto poderia explorar essa vulnerabilidade convencendo um usuário a visitar um documento XML elaborado contendo um grande número de referências de entidades aninhadas para causar consumo de memória e CPU, resultando em condições de negação de serviço (DoS). A máquina então pode ser transformada em um ‘Computador Zumbi’ para lançar um ataque de Negação de Serviço (DoS) na natureza ou um ataque de Negação de Serviço Distribuído (DDoS) dedicado.*

• Atualmente, a Microsoft não emitiu nenhuma correção/patch para essas vulnerabilidades, mas há uma solução alternativa disponível se você quiser proteger seu computador. Você deve definir as configurações da zona de segurança da Internet e da intranet local nas configurações do Internet Explorer para “Alta”. Isso desativará tanto os controles ActiveX XMLDOM quanto a execução de scripts no seu Internet Explorer, e os scripts não poderão ser executados.