Desde luego mayo no ha sido un buen mes para la seguridad de Windows 10. Hace una semana os contamos cómo se descubrían 3 fallos de seguridad en menos de 24 horas que ponían en peligro la seguridad de los usuarios del sistema operativo, vulnerabilidades que iban a seguir expuestas hasta el mes que viene cuando Microsoft lance sus nuevos parches de seguridad. Por desgracia, estas 3 vulnerabilidades no son las únicas en ponernos en peligro, y es que Tavis Ormandy, investigador de seguridad de Google Project Zero, ha dado a conocer esta misma semana otra vulnerabilidad en el sistema operativo, un fallo RCE oculto en el Bloc de Notas.

Este investigador de seguridad ha demostrado cómo es posible lanzar cualquier otra aplicación dentro del proceso del Bloc de Notas, con los mismos permisos que esta aplicación y con acceso a todos los recursos que tiene este veterano software que lleva en el sistema operativo desde los años 90.

Am I the first person to pop a shell in notepad? 🤣 ….believe it or not, It's a real bug! 🐞 pic.twitter.com/t2wTh7E93p

— Tavis Ormandy (@taviso) May 28, 2019

Aunque algunos usuarios no lo consideran un fallo de seguridad como tal, simplemente un bug, Ormandy asegura que se trata de un fallo real, y que por seguridad no puede facilitar más información sobre él hasta que Microsoft lance su correspondiente parche, o se agote el plazo que ofrecen para que la compañía lo solucione.

Notebad: así está Microsoft descuidando sus aplicaciones más antiguas

Podemos encontrar fallos en las aplicaciones más comunes de Microsoft, como en Office, Internet Explorer o Edge, ya que al fin y al cabo son aplicaciones que están cambiando constantemente y el más mínimo fallo al programarlas puede ponernos en peligro. Sin embargo, en esta ocasión ha sido el propio bloc de notas, una de las aplicaciones más simples del sistema operativo y que lleva siendo parte de él desde sus inicios, quien ha puesto en peligro la integridad del sistema operativo.

No se sabe muy bien el alcance que tendrá este fallo de corrupción de memoria en Windows ni a las versiones del sistema operativo a las que afectará. Lo que está claro es que lo que muchos se están tomando a broma se trata de un fallo de seguridad que, si se explota de la forma adecuada, puede permitir ejecutar código en la memoria del sistema. ¿Imaginamos un malware oculto dentro de un inofensivo txt? Podría ser, aunque no podemos conocer más información hasta que o bien Microsoft o bien Google Project Zero la hagan pública.

Cómo protegerme de esta vulnerabilidad en el bloc de notas

De momento no hay ninguna forma de protegernos de este fallo de seguridad ya que Microsoft no ha lanzado ningún parche de seguridad y como Google Project Zero tampoco ha facilitado más información al respecto, no sabemos exactamente su alcance ni posibles mitigaciones.

Se espera que Microsoft solucione este fallo de seguridad pronto, probablemente con los parches de seguridad de junio de 2019, aunque Google ofrece a la compañía un total de 90 días para solucionarlo antes de hacer pública la información técnica de este fallo.

Por el momento solo podemos esperar y estar atentos a los próximos parches de seguridad para Windows 10, parches que, sin duda, darán mucho de qué hablar.