Detectada la primera vulnerabilidad del Windows Mail de Vista

Windows Mail de Vista ya registra los primeros fallos serios de seguridad,
tan sólo unos meses después de que se produjera su lanzamiento comercial. Bajo
unas determinadas circunstancias, el hecho de hacer click sobre un link de un
e-mail puede provocar que se ejecute automáticamente un programa en el
ordenador, sin requerir la confirmación del usuario.

Según informa
TGDaily, un hacker
conocido con el pseudónimo de Kingcope ha informado en una lista de correo sobre
seguridad que el fenómeno descrito anteriormente es posible simplemente
añadiendo en un e-mail un link a un programa local del ordenador. Si existe un
directorio con el mismo nombre que el programa ejecutable, éste será puesto en
funcionamiento por Windows Mail cuando el usuario pinche sobre el link, sin ni
siquiera pedir confirmación por parte del usuario.

Para confirmar la noticia, Heise
Security realizó una prueba y confirmó que efectivamente, sucedía. Después
de crear un carpeta con el nombre de calc en C://windows/system32/, haciendo
click en un link a c://windows/system32/calc? se ejecutó la calculadora sin
niguna interacción por parte del usuario,

Hasta a ahora, no se ha dado un escenario real para que explotar este
ataque, por lo que su peligrosidad es baja. En cualquier caso, Kingcope ha
informado de que existen dos programas de Windows, winrm y migwiz, para los que
el directorio requerido ya existe. Sin embargo, el hacker ha admitido que aún no
ha sido posible pasar parámetros a los programas, lo que reducen
considerablemente las posibilidades de ataques dirigidos.

Aun así, el simple hecho de que, en ocasiones, sólo pulsar sobre un link de
un e-mail sea suficiente para ejecutar un programa automáticamente sin necesidad
de confirmación deja a los usuarios en una situación incómoda. Además, cabe re
cordar que muchas de las vulnerabilidades peligrosas detectadas para Outlook
Express y Internet Explorer en un principio parecieron inocuas.