IORedixs Blog

eEye y Microsoft, en pie de guerra

El boletín MS06-042 está causando más que un dolor de cabeza a Microsoft. La última vulnerabilidad ha provocado una curiosa disputa verbal entre Microsoft y eEye, una de las más reputadas compañías de seguridad, responsable de excelentes herramientas de análisis y descubridora de importantes vulnerabilidades.

El 8 de agosto Microsoft publicó el boletín MS06-042. En él se recomendaba la aplicación de un parche acumulativo para Internet Explorer que solucionaba ocho problemas de seguridad. Al poco tiempo se descubrió que este parche causaba problemas para visualizar algunas páginas. El fallo se daba en las webs que aceptasen el uso de la versión 1.1 del protocolo HTTP además de compresión de tráfico. Microsoft reconoció el error y programó para el día 22 de agosto la publicación de una reedición del parche que solucionara el problema.

El día 22 llegó y Microsoft retrasó su publicación a causa, según ellos, de problemas técnicos en la distribución. A eEye no le sentó nada bien el retraso e hizo público de forma unilateral y por iniciativa propia lo que la empresa ya había descubierto hacía días: el fallo que introducía el parche era en realidad una vulnerabilidad crítica. No dio detalles técnicos, sólo advirtió del peligro que podía suponer lo que en principio parecía un simple error.

A su vez, a Microsoft no le gustó que eEye rompiese el acuerdo de no hablar de "vulnerabilidad" hasta que la nueva edición del parche no estuviese preparada. Calificó la actitud de eEye como de "irresponsable" por dar pistas a los posibles atacantes. Curiosamente, fue en el propio boletín de Microsoft donde se daban más detalles técnicos que en la nota publicada por eEye. En el de Microsoft se hablaba de "URL largas", detalle definitivo que según eEye sí que constituía una verdadera irresponsabilidad por allanar el camino a la aparición de exploits para la vulnerabilidad. Por si fuera poco, en el blog oficial de Internet Explorer, el programador Tony Chor hablaba en concreto de la librería urlmon.dll como fuente del problema (que sería confirmado posteriormente por eEye al hacer público el análisis de la vulnerabilidad).

No ha sido hasta el día 25 que Microsoft ha publicado por fin la segunda versión del parche, donde se supone solucionada la grave vulnerabilidad. Justo en ese momento, a su vez, eEye ha hecho público con todo lujo de detalles el problema de las "URL largas" y la librería urlmon.dll. Microsoft, por su parte, ha decidido eliminar el nombre de la empresa eEye de los créditos de la nueva versión del boletín MS06-042 (donde se acreditan a los descubridores de vulnerabilidades), por considerar que no lo merece porque su actitud ha puesto en riesgo a sus clientes.

Mientras, Ross Brown, director ejecutivo de eEye, carga en su blog contra Microsoft sin pelos en la lengua. Analiza en tono irónico las palabras del blog MSRC de Microsoft en el que se aclaran los motivos del retraso del nuevo parche y concluye: "si se analiza este párrafo [en el que Microsoft justifica el retraso] se dice, en esencia, que no querían tener un subconjunto de clientes desprotegidos... ¿así que dejaron a todos desprotegidos? ¡Gracias por la ayuda, chicos!".

También se queja de la ambigüedad de las palabras de Microsoft a la hora de achacar los problemas para el retraso. Para Brown, el verdadero problema ha sido la herramienta comercial SMS (Systems Management Server) pero lo han ocultado sutilmente hablando de "problemas en la distribución" (de ahí que el parche estuviese disponible sólo a través del canal oficial de soporte y no de forma pública).

Por otro lado, Microsoft también se ha molestado con Trend Micro, por haber calificado la última vulnerabilidad en PowerPoint como un "0 day", cuando en realidad no es más que un fallo ya parcheado para Office. Trend Micro informó el día 19 de un supuesto nuevo tipo de malware que aprovechaba una vulnerabilidad nueva para la que no existía solución. Microsoft ha desmentido que sea un nuevo fallo, además de lamentar la actitud de la empresa antivirus por hablar de vulnerabilidades sin ponerse previamente de acuerdo con ellos, de forma que podía haber sido estudiada antes de causar una alarma innecesaria.

En definitiva, a Microsoft le molesta especialmente que se proporcione información sobre vulnerabilidades cuando no existe parche disponible para solventarlas. Para ellos, la actitud adecuada ante el descubrimiento de una vulnerabilidad pasa por ponerse en contacto con ellos, acordar una fecha de publicación de soluciones y a partir de ahí el descubridor podrá ofrecer todos los detalles que desee. Pero hacerlo antes se supone una irresponsabilidad.

Un episodio más de la eterna disputa entre la filosofía del "ocultismo" y la total revelación de detalles de seguridad.

Gracias Sergio por la info :D