Polémica sobre la vulnerabilidad de la versión gratuita del cortafuegos ZoneAlarm, que afecta a la seguridad

La versión gratuita del cortafuegos personal para Windows, ZoneAlarm, con millones de usuarios en todo el mundo, tiene un grave error que puede provocar fugas no detectadas de información, según ha alertado la lista de correo BugTraq y ha confirmado la empresa Zone Labs.

Al ser vulnerabilidad de diseño, afecta a todas las versiones y no es posible aplicar un simple parche. La empresa ha declarado que el problema, que califica de menor, es en realidad de Windows y no piensa solucionarlo.

La principal función de ZoneAlarm es evitar los accesos no autorizados desde y hacia el exterior del ordenador. La vulnerabilidad descubierta deja en entredicho la seguridad de las conexiones hacia fuera, ya que un atacante puede usar técnicas de ingeniería social para instalar un troyano en el ordenador de la víctima.

Por ejemplo, enviándoselo por correo, y haciendo que éste acceda a Internet sin que el cortafuegos lo advierta, como un programa legítimo al que el usuario deja conectarse por defecto.

Según el boletín Hispasec, "para acceder al exterior, en lugar de realizar la conexión directa, el troyano podría utilizar la función ShellExecute de la API de Windows. Cuando se le pasa como parámetro una dirección web, Windows invoca al navegador. Como la mayoría de los usuarios permiten la conexión de este programa a Internet sin pedir permiso, el cortafuegos personal autoriza la conexión. A pesar de que no se tiene constancia de que este ataque haya sido usado de forma activa, las posibilidades de aparición de malware que utilice este problema son muy elevadas".

El agujero afecta sólo a las versiones gratuitas de ZoneAlarm. Las de pago tienen una característica adicional que lo evita, como ha explicado en la lista BugTraq el director de comunicaciones de Zone Labs, Te Smith: "La función Control de Programas, presente en todos nuestros productos de pago desde noviembre de 2002, a partir de ZoneAlarm Pro 3.5, protege los ordenadores de este problema, si se tiene activada al máximo nivel".

La empresa ha declarado que no piensa solucionarlo, porque es un problema de Windows que afecta también a otros cortafuegos.

Además, según su vicepresidente, Fred Felman, existe poco riesgo, ya que no es un ataque que pueda hacer cualquiera: "Se necesita un cantidad increíble de sofisticación, el equivalente a una operación de cerebro".

Hispasec recomienda a los usuarios de la versión gratuita que "no permitan a ninguna aplicación el acceso por defecto a la red y que tengan especial cuidado ante la posible introducción de troyanos".