{"id":883,"date":"2014-03-21T11:03:59","date_gmt":"2014-03-21T10:03:59","guid":{"rendered":"http:\/\/www.satinfo.es\/noticies\/?p=883"},"modified":"2014-12-11T16:55:51","modified_gmt":"2014-12-11T15:55:51","slug":"aclaracion-sobre-las-detecciones-realizadas-por-el-modulo-de-desbordamiento-de-memoria-del-parche-4-de-virusscan-enterprise-8-8","status":"publish","type":"post","link":"https:\/\/www.satinfo.es\/noticies\/2014\/aclaracion-sobre-las-detecciones-realizadas-por-el-modulo-de-desbordamiento-de-memoria-del-parche-4-de-virusscan-enterprise-8-8\/","title":{"rendered":"ACLARACI\u00d3N SOBRE LAS DETECCIONES REALIZADAS POR EL M\u00d3DULO DE DESBORDAMIENTO DE MEMORIA DEL PARCHE 4 DE VIRUSSCAN ENTERPRISE 8.8"},"content":{"rendered":"

PROBLEMA<\/span>:<\/b><\/p>\n

Tras la instalaci\u00f3n del parche 4 de VirusScan Enterprise 8.8 algunos clientes han visto reportados varios eventos de detecci\u00f3n del M\u00f3dulo de Desbordamiento de Memoria (BOP). Estas alertas no se reportaban con versiones anteriores de parche de VirusScan.<\/span><\/span><\/span><\/p>\n

Ejemplo de evento de BOP registrado<\/span><\/span>:<\/span><\/span><\/span><\/span><\/p>\n

20\/02\/2014 13:04:19 Bloqueado por la protecci\u00f3n contra desbordamientos de b\u00fafer DOMAIN\\User C:\\Archivos de programa\\Microsoft Office\\Office12\\EXCEL.EXE:NTDLL.KiUserExceptionDispatcher<\/b>::3ba3d58 Desbordamiento de b\u00fafer:de escritura Desbordamiento de b\u00fafer:pila<\/span><\/span><\/span><\/p>\n

Explicaci\u00f3n de un evento de BOP registrado<\/span><\/span>:<\/span><\/span><\/span><\/span><\/p>\n


\n<fecha> <hora> <Acci\u00f3n realizada por BOP, que puede ser BLOQUEO o AVISO> <Cuenta de usuario> <Ruta del proceso de destino> :NTDLL.KiUserExceptionDispatcher<\/b>::<direcci\u00f3n> <Tipo de desbordamiento de memoria><\/span><\/span><\/span><\/p>\n

Informaci\u00f3n del <\/span>Dump <\/span>de un proceso que ha sido bloqueado<\/span>:<\/span><\/span><\/span><\/p>\n


\nPRIMARY_PROBLEM_CLASS: SOFTWARE_NX_FAULT
\nBUGCHECK_STR: APPLICATION_FAULT_SOFTWARE_NX_FAULT<\/span><\/span><\/span><\/p>\n

CAUSA<\/span><\/span>:<\/span><\/b><\/span><\/span><\/span><\/p>\n

La funci\u00f3n del M\u00f3dulo de Desbordamiento de Memoria utiliza ahora la funcionalidad <\/span>Data Execution Prevention (DEP) para determinar si se ha producido una violaci\u00f3n por parte de uno de los procesos incluidos en la lista de BOP. Cuando se detecta una violaci\u00f3n, la funci\u00f3n BOP act\u00faa bloqueando el proceso monitorizado o bien informando sobre \u00e9l.<\/span><\/span><\/span><\/p>\n

IMPORTANT<\/span><\/span><\/span><\/span><\/strong>E<\/span><\/span><\/span><\/span><\/strong>: <\/span><\/span><\/span><\/strong>Estas detecciones deber\u00edan considerarse siempre como leg\u00edtimas. Versiones anteriores de<\/span><\/span><\/span><\/strong>VSE <\/span><\/span><\/span>no detectaban estas violaciones porque la funcionalidad s\u00f3lo monitorizaba ciertas llamadas al API para un listado limitado de procesos<\/span><\/span><\/span>. <\/span><\/span><\/span>Con el parche <\/span><\/span><\/span>4 <\/span><\/span><\/span>el alcance se ha ampliado y ahora <\/span><\/span><\/span>todas<\/b><\/span><\/span><\/span><\/span> las APIS del mismo listado limitado de procesos se monitorizan.<\/span><\/span><\/span>Es por ello que las detecciones de desbordamiento de memoria pueden ser m\u00e1s recurrentes, especialmente cuando se utilizan aplicaciones que no tienen los \u00faltimos parches disponibles instalados.<\/span><\/span><\/span><\/p>\n

SOLUCI\u00d3N<\/span>:<\/b><\/span><\/span><\/span><\/p>\n

McAfee ha verificado que dichas detecciones son leg\u00edtimas; el c\u00f3digo que no se ejecuta apropiadamente intenta hacerlo en la memoria. Las acciones que se deber\u00e1n tomar para estas aplicaciones son:<\/span><\/span><\/span><\/p>\n