Microsoft alerta de una nueva vulnerabilidad 0-day en Windows XP y Windows Server 2003.

Microsoft ha anunciado una nueva vulnerabilidad crítica en el kernel de Windows que podría permitir la elevación de privilegios en Windows XP y Windows Server 2003. 

La vulnerabilidad se está explotando de forma activa en este momento, de ahí la alerta fuera de ciclo. La vulnerabilidad CVE-2013-5065 solo afecta a Windows XP y Windows Server 2003 y reside concretamente en que el componente NDProxy.sys del Kernel falla al validar las entradas de forma adecuada.

NDProxy es un controlador proporcionado por el sistema que interactúa con los controladores de minipuerto WAV, administradores de llamadas y administradores de llamadas de minipuerto a los servicios de interfaz de programación de aplicaciones de telefonía (TAPI).

Un atacante local que explote con éxito esta vulnerabilidad podrá ejecutar código arbitrario en modo kernel, es decir podrá instalar programas; visualizar, cambiar o eliminar datos; o crear nuevas cuentas con derechos de administrador. Para explotar la vulnerabilidad, el atacante tendrá que estar autenticado en el sistema.

Microsoft ofrece una contramedida, que aunque no corrige la vulnerabilidad, bloquea los vectores de ataque conocidos, por lo que será efectiva al menos hasta que se publique la actualización de seguridad definitiva.

Como recomendación se ofrece el reenrutamiento del servicio NDProxy a Null.sys Desde una consola con permisos administrativos se debe ejecutar:

sc stop ndproxy
reg add HKLM\System\CurrentControlSet\Services\ndproxy /v ImagePath /t REG_EXPAND_SZ /d system32\drivers\null.sys /f

Tras lo que hay que reiniciar el sistema.

Esta contramedida provoca que todos los servicios que se basan en Windows TAPI (Telephony Application Programming Interfaces) dejen de funcionar, esto incluye servicios como Remote Access Service (RAS), conexión de acceso telefónico o VPN (Virtual Private Networking).

Fuente: Hispasec