Una vulnerabilidad de día cero sin parchear en el controlador del firewall de Comodo Internet Security, Inspect.sys, tras no recibir respuesta del proveedor después de múltiples intentos de divulgación.

La vulnerabilidad, apodada ComoDoS y descubierta por Marcus Hutchins, permite que un atacante remoto provoque la caída de un sistema Windows objetivo con un solo paquete IPv6 malformado, omitiendo todas las reglas de firewall configuradas en el proceso.

En el momento de la publicación, no existe ningún parche. Marcus Hutchins envió un análisis completo de la causa raíz, sugerencias de parche y una prueba de concepto (PoC) al equipo de seguridad de Comodo, pero no recibió ningún reconocimiento.

Vulnerabilidad de día cero en Comodo Internet Security

El fallo reside en el analizador (parser) de cabeceras IPv6 de Inspect.sys. Los paquetes IPv6 admiten "cabeceras de extensión" opcionales que se encadenan entre la cabecera IPv6 fija de 40 bytes y el protocolo de capa superior (TCP, UDP, etc.).

El analizador recorre estas cabeceras de extensión, restando la longitud de cada cabecera de una variable payload_length derivada directamente de la cabecera fija IPv6 controlada por el atacante.

El problema crítico: el código nunca valida el campo de longitud de la carga útil. Si un atacante establece la longitud de la carga útil de IPv6 a un valor menor que la longitud total de las cabeceras de extensión, la variable payload_length de 64 bits sin signo sufre un desbordamiento negativo (underflow) y se convierte en aproximadamente 18,4 quintillones (0xFFFFFFFFFFFFFFF8).

Debido a que el controlador del firewall debe analizar las cabeceras TCP/IP antes de aplicar cualquier regla de firewall, este análisis ocurre independientemente de si todos los puertos están bloqueados.

El desbordamiento de entero resultante provoca un fallo del kernel (BSOD), convirtiéndolo en una primitiva fiable de denegación de servicio remota. El exploit de la PoC es notablemente compacto, cabiendo en cuatro líneas de Python usando Scapy:

pythonext = IPv6ExtHdrDestOpt(nh=6, options=[PadN(optdata=b"\x00" * 8)])
tcp = TCP(sport=1337, dport=80, flags="S", seq=0, ack=1, window=0x2000)
ipv6 = IPv6(dst=dst_ip, nh=60, hlim=64, plen=8)
pkt = ipv6 / ext / tcp
send(packet)

Marcus Hutchins utilizó deliberadamente la cabecera de extensión de Opciones de Destino (tipo 60) porque es la que tiene menos filtrado a nivel de router, maximizando la probabilidad de que el paquete malicioso llegue a su objetivo a través de internet.

Más allá de la primitiva de DoS, Marcus Hutchins identificó rutas accesibles de lectura y escritura fuera de límites (OOB) desencadenadas por el mismo valor desbordado. Sin embargo, ambas primitivas enfrentan restricciones de explotación significativas.

La lectura OOB ocurre dentro de un escáner de artefactos WebDAV/HTTP, donde el valor del tamaño se trunca a 16 bits, limitándolo a 65 KB. Un fallo de página en esta ruta provoca la caída del sistema en DISPATCH_LEVEL.

La escritura OOB, a la que solo se llega después de un saludo (handshake) TCP completo, trunca el tamaño desbordado a 32 bits, produciendo un desbordamiento del pool del kernel de 4 GB que virtualmente garantiza la caída del sistema. Dado que los paquetes de red estándar llegan a un máximo de 65 KB, no hay una forma realista de reducir el desbordamiento lo suficiente para evitar la caída, lo que hace que la ejecución remota de código (RCE) sea muy improbable en este momento.

La vulnerabilidad fue descubierta durante una investigación sobre las superficies de ataque BYOVD (Trae tu propio controlador vulnerable) utilizando un pipeline de análisis asistido por IA.

Al auditar una versión más antigua del controlador de Comodo, Marcus Hutchins identificó debilidades arquitectónicas que motivaron el análisis manual del controlador actual, lo que llevó directamente a este hallazgo.

Una PoC completa está disponible públicamente en GitHub. Las organizaciones que confíen en Comodo Internet Security deberían monitorizar el tráfico IPv6 anómalo y considerar controles a nivel de red que bloqueen cabeceras de extensión IPv6 malformadas como mitigación temporal hasta que se publique un parche oficial.