Categories: CortafuegosSeguridad

Ejecución remota de código a través imágenes JPEG y GIF en Windows CE

Windows CE (o Windows CE Embedded) es un sistema operativo modular y de tiempo real diseñado por Microsoft para dispositivos móviles de 32 bits. Tiene soporte para múltiples arquitecturas de CPU e incluye opciones para comunicaciones y redes.

Existen múltiples plataformas basadas en el core de Windows CE 5.0, como puede ser Windows Mobile, cuya versión actual es la 6.1 y que se viene integrando en diversos modelos de agendas electrónicas (PDAs) y teléfonos inteligentes (smartphones).

Una de las mayores diferencias entre Windows CE y el resto de sistemas operativos de Microsoft, es que gran parte de su código fuente está disponible de forma pública bajo licencia Shared Source, la cual permite al usuario final modificar el código sin notificar al propietario. Windows CE tiene sus propias APIs para desarrollo, y necesita sus propios drivers para el hardware con el cual va a interactuar. Ahí es donde interviene Platform Builder, la herramienta usada para la programación del propio entorno del SO, de los drivers y también de las aplicaciones, y en la que se tiene disponible buena parte del código fuente de Windows CE.

Las vulnerabilidades detectadas están causadas por errores no especificados en la interfaz de dispositivo gráfico de Windows CE (GDI+) al procesar imágenes JPEG y GIF mal formadas. Esto podría ser aprovechado por un atacante remoto para tomar el control sobre un sistema vulnerable si un usuario abre una imagen especialmente manipulada, que podría estar contenida en una página web.

No es la primera vez que se encuentran vulnerabilidades de este tipo en sistemas operativos del fabricante de Redmond. Microsoft ha dedicado varios boletines a solventar problemas en su motor de representación de gráficos (GDI), dos ordinarios: MS08-021 publicado en Abril de 2008, y MS07-046 en Agosto de 2007. Además de otro de carácter extraordinario MS07-017 publicado a principios de Abril del año pasado fuera del ciclo normal de actualizaciones.

Desde Microsoft se recomienda a fabricantes y desarrolladores aplicar la actualización Windows CE 5.0 Platform Builder Monthly Update (February 2008) lo antes posible, y después recompilar el sistema operativo para obtener una nueva versión no vulnerable al fallo de seguridad.

Los usuarios finales que dispongan de dispositivos basados en Windows CE 5.0, deberán esperar a que los fabricantes lancen una actualización para el sistema operativo o el firmware del dispositivo afectado, y actualizarlo lo antes posible una que vez la versión parcheada esté disponible desde su página web.

Redacción

Recent Posts

Google paga 5.000 millones de dólares para resolver una demanda colectiva

Los usuarios denunciaban que la compañía los había rastreado incluso cuando usaban el modo privado…

11 meses ago

Las pymes valencianas pueden optar a ayudas de 5,5 millones de euros por proyectos de I+D

El Instituto Valenciano de Competitividad Empresarial financiará aquellas iniciativas que puedan solucionar incertidumbres científicas o…

11 meses ago

La guerra entre Israel y Gaza no acobarda a los inversores extranjeros de startups

Solo en el cuarto trimestre las empresas emergentes del país han levantado 1.500 millones de…

11 meses ago

Navarra ya cuenta con más de 80 startups

La región tiene 13 scaleups y destaca por sus empresas emergentes de salud y agrotech.

11 meses ago

Las startups valencianas progresaron adecuadamente en 2023

Valencia ha atraído en el primer semestre del año 30 millones de euros de inversión…

11 meses ago

El New York Times acusa a Open AI y Microsoft de infringir sus derechos de autor

El diario estadounidense demanda a las dos compañías tecnológicas por haber usado sus contenidos para…

11 meses ago