17 anos: detectada vulnerabilidade no kernel Windows NT

Tempos atrás, muita gente encheu a boca para falar de uma tal vulnerabilidade do Linux que ficou aberta durante oito anos. E, na mesma notícia, eu disse que não apenas o Linux possui este tipo de problema, mas qualquer outro sistema, principalmente os fechados – cujos bugs são mais difíceis de se descobrir e corrigir, justamente porque são fechados.

Depois da vulnerabilidade do Internet Explorer usado no ataque do Google, um bug detectado no Windows NT fez aniversário de… 17 anos! Isso mesmo, dezessete anos. E, vale lembrar que o Windows NT é a base de seu Windows XP, Vista e 7. A brecha pode ser usada para escalar privilégios no sistema.

A Microsoft alerta que um hacker malicioso poderá explorar a vulnerabilidade para rodar códigos arbitrários no modo kernel. E, para o ataque ter êxito, o indivíduo ilícito deve ter credenciais de logon válidas, e ainda estar habilitado a ‘logar’ localmente no computador, afirma a MS.

Segundo Tavis Ormandy, o pesquisador do Google que anunciou os detalhes do bug, a Microsoft foi notificada do problema em junho de 2009, e depois de meses e mais meses esperando um patch, ele decidiu tornar público o assunto. Aliás, se fosse software livre, quanto tempo o sujeito do Google demoraria para ver um patch?

A vulnerabilidade está presente em todas as versões de 32 bits do Windows NT, desde o N 3.51 até o Windows 7. O suporte a plicativos de 16 bits foi desativado nas versões de 64 bits do Windows, então os usuários de Windows em suas versões de 64 bits não precisam se preocupar.

A falha existe no DOS Virtual Machine, um sistema que permite que ao Windows NT executar aplicativos do DOS e de 16 bits. Basicamente, a correção pode ser feita pelo próprio usuário, desativando os subsistemas MSDOS e WOWEXEC no Group Policy, de três maneiras diferentes: usando o Group Policy Editor (digite gpedit.msc no Executar ou no campo de busca do Vista/ 7), indo em Configuração do Computador > Modelos Administrativos > Componentes do Windows > Compatibilidade de aplicativos e habilitando a opção “Impedir acesso a aplicativos de 16 bits”.

O segundo método consiste em abrir o editor do registro, deixando a chave HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsAppCompat com um valor D-Word de VDMDissallowed = 1. O terceiro método, e mais automatizado, é criar um arquivo de texto chamado vdmdisallow.reg, copiar e colar o conteúdo abaixo, salvar, e por fim dar um clique duplo sobre ele:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsAppCompat]

"VDMDisallowed"=dword:00000001

Ás vezes problemas pequenos se tornam grandes. Que levante a mão quem hoje ainda usa aplicativos 16 bits. É uma questão de bom senso. É esperado que um patch oficial da Microsoft seja liberado em breve.

Agradecimento ao Marcos Elias Picão pelas imagens e dicas.

Anúncio da falha:

http://seclists.org/fulldisclosure/2010/Jan/341

Nota da Microsoft:

http://www.microsoft.com/technet/security/advisory/979682.mspx#ECG

Fontes:

http://www.osnews.com/story/22767/Windows_NT_VDM_Vulnerab…

http://blogs.zdnet.com/security/?p=5307

http://www.computerworld.com/s/article/9146820/Microsoft_confir…