Ejecución remota de código a través imágenes JPEG y GIF en Windows CE

Windows CE (o Windows CE Embedded) es un sistema operativo modular y de tiempo real diseñado por Microsoft para dispositivos móviles de 32 bits. Tiene soporte para múltiples arquitecturas de CPU e incluye opciones para comunicaciones y redes.

Existen múltiples plataformas basadas en el core de Windows CE 5.0, como puede ser Windows Mobile, cuya versión actual es la 6.1 y que se viene integrando en diversos modelos de agendas electrónicas (PDAs) y teléfonos inteligentes (smartphones).

Una de las mayores diferencias entre Windows CE y el resto de sistemas operativos de Microsoft, es que gran parte de su código fuente está disponible de forma pública bajo licencia Shared Source, la cual permite al usuario final modificar el código sin notificar al propietario. Windows CE tiene sus propias APIs para desarrollo, y necesita sus propios drivers para el hardware con el cual va a interactuar. Ahí es donde interviene Platform Builder, la herramienta usada para la programación del propio entorno del SO, de los drivers y también de las aplicaciones, y en la que se tiene disponible buena parte del código fuente de Windows CE.

Las vulnerabilidades detectadas están causadas por errores no especificados en la interfaz de dispositivo gráfico de Windows CE (GDI+) al procesar imágenes JPEG y GIF mal formadas. Esto podría ser aprovechado por un atacante remoto para tomar el control sobre un sistema vulnerable si un usuario abre una imagen especialmente manipulada, que podría estar contenida en una página web.

No es la primera vez que se encuentran vulnerabilidades de este tipo en sistemas operativos del fabricante de Redmond. Microsoft ha dedicado varios boletines a solventar problemas en su motor de representación de gráficos (GDI), dos ordinarios: MS08-021 publicado en Abril de 2008, y MS07-046 en Agosto de 2007. Además de otro de carácter extraordinario MS07-017 publicado a principios de Abril del año pasado fuera del ciclo normal de actualizaciones.

Desde Microsoft se recomienda a fabricantes y desarrolladores aplicar la actualización Windows CE 5.0 Platform Builder Monthly Update (February 2008) lo antes posible, y después recompilar el sistema operativo para obtener una nueva versión no vulnerable al fallo de seguridad.

Los usuarios finales que dispongan de dispositivos basados en Windows CE 5.0, deberán esperar a que los fabricantes lancen una actualización para el sistema operativo o el firmware del dispositivo afectado, y actualizarlo lo antes posible una que vez la versión parcheada esté disponible desde su página web.