Google revela un nuevo Zero Day en Windows 10, explotado y sin parche

Desde el Project Zero de Google, la élite en ciberseguridad del gigante de Internet, han publicado una prueba de concepto de un nuevo Zero Day en Windows 10, explotado y sin parche. 

El fallo ha sido etiquetado como CVE-2020-17087 y consiste en una vulnerabilidad de desbordamiento de búfer en el kernel de Windows 10 que puede explotarse consiguiendo una escalada de privilegios local para ejecutar malware en el sistema operativo. Cuando se combina con otra vulnerabilidad en Chrome, recientemente parcheada por Google, permite que el malware escape del sandbox del navegador y tome el control completo de un PC.

Google explica que el nuevo Zero Day en Windows 10 es un error crítico y está siendo explotado por lo que dio a Microsoft el plazo previsto de 7 días para parchearla, una fecha límite que ha pasado sin una corrección, aunque desde Microsoft explican los motivos:

«Microsoft tiene un compromiso con el cliente de investigar los problemas de seguridad informados y actualizar los dispositivos afectados para protegerlos. Si bien trabajamos para cumplir con los plazos de divulgación de todos los investigadores, incluidos los plazos a corto plazo como en este escenario, el desarrollo de una actualización de seguridad es un equilibrio entre la puntualidad y la calidad, y nuestro objetivo final es ayudar a garantizar la máxima protección al cliente con una interrupción mínima de sus equipos».

Según el líder técnico del Project Zero, Ben Hawkes, Microsoft planea publicar un parche el 10 de noviembre. Si bien el fallo está siendo explotado activamente, tanto Google como Microsoft dijeron que los ataques fueron «dirigidos», aunque no relacionados con las elecciones estadounidenses.

In addition to last week’s Chrome/freetype 0day (CVE-2020-15999), Project Zero also detected and reported the Windows kernel bug (CVE-2020-17087) that was used for a sandbox escape. The technical details of CVE-2020-17087 are now available here: https://t.co/bO451188Mk

— Ben Hawkes (@benhawkes) October 30, 2020

Un portavoz de Microsoft dijo que el ataque reportado es «muy limitado y de naturaleza dirigida, y no hemos visto evidencia que indique un uso generalizado». Por supuesto, ahora que se ha publicado la prueba de concepto es probable que la situación cambie y lleguen exploits a otros escenarios, con ataques directos o combinados con otro tipo de malware.

El fallo afecta a todas las versiones nuevas y anteriores de Windows 10, aunque estén totalmente parcheadas. También afectan a otros sistemas como Windows 7, recordemos una versión sin soporte técnico.