Project Zero hace pública una vulnerabilidad en el Kernel de Windows

---

Seguridad-Google-Project-Zero.png

Desde hace tiempo, Google cuenta con un grupo de expertos de seguridad, llamado Project Zero, que buscan constantemente fallos de seguridad en todo el software actual de manera que los responsables puedan solucionarlos antes de que lo descubran piratas informáticos que puedan utilizarlos con malas intenciones. Sin embargo, los plazos para solucionarlos no son ilimitados, sino que los desarrolladores, ya sea uno independiente como un gigante como Microsoft, tienen como máximo 90 días para lanzar el parche de seguridad o, de lo contrario, el fallo se hará público y pondrá en peligro a todos los usuarios, tal como acaba de ocurrir con el nuevo fallo de seguridad de Windows hecho público.



No es la primera vez que Google pone en evidencia a Microsoft (y en peligro a los usuarios) haciendo públicos fallos en su sistema operativo Windows, y tampoco será la última. Hace unas horas, los ingenieros de Project Zero hacían pública una nueva vulnerabilidad en el Kernel de Windows que podía permitir a un atacante evadir las medidas de seguridad y mitigación del sistema operativo con relativa facilidad.



Este fallo de seguridad fue descubierto el pasado mes de marzo por los ingenieros del grupo de Google y, acto seguido, fue reportado a Microsoft, quien lo solucionó y liberó su parche de seguridad con las últimas actualizaciones de seguridad de Windows de este mismo mes. Sin embargo, algo le ha pasado a Microsoft, y es que, aunque en teoría el parche debería haber solucionado la vulnerabilidad, esta sigue estando presente en todos los ordenadores y, al haberse agotado el plazo, finalmente se ha dado a conocer.



Tal como aseguran los ingenieros de Project Zero, esta vulnerabilidad puede permitir a cualquier usuario acceder a la memoria del Kernel de Windows y, con un sencillo exploit, saltarse los sistemas de protección y mitigación de amenazas del sistema operativo. La vulnerabilidad ha sido considerada como de peligrosidad media y, según parece, solo afecta a los usuarios de las versiones de 32 bits de Windows, desde Windows 7 hasta Windows 10.

Microsoft no tiene prisa en solucionar esta vulnerabilidad en Windows, y el parche puede atrasarse hasta después de verano

Microsoft solucionó el fallo de seguridad, sin embargo, por algún motivo, este fallo ha seguido presente en los sistemas, por lo que Google finalmente lo ha hecho público tal como promete su programa.



Lo lógico, si Microsoft se ha equivocado al lanzar el parche de seguridad, es que lance uno nuevo, si no es antes de tiempo (al no ser una vulnerabilidad conocido o de peligrosidad alta), lo antes posible, por ejemplo, con el lanzamiento de los siguientes parches de seguridad previstos para el próximo 11 de julio. Sin embargo, Microsoft ha a asegurado no tener ninguna prisa en solucionar la vulnerabilidad.



Por ello, salvo que Microsoft se arrepienta y finalmente sí que solucione el fallo, es posible que ni en las actualizaciones de seguridad de julio ni en las de agosto veamos este parche de seguridad que soluciona esta nueva vulnerabilidad.



Como hemos dicho, la vulnerabilidad solo afecta a los sistemas de 32 bits, por lo que, si nuestro Windows es de 64 bits, no tenemos de qué preocuparnos.



https://www.redeszone.net/2017/06/28/project-zero-vulnerabilidad-kernel-windows/