Tema: Múltiples vulnerabilidades en Internet Explorer

[Danae]

Múltiples vulnerabilidades en Internet ExplorerSecunia ha publicado los reportes de múltiples vulnerabilidades en Internet Explorer de Microsoft, que permiten que usuarios maliciosos puedan eludir las restricciones de seguridad y comprometer a los sistemas vulnerables.
1. Es posible redireccionar una función a otra función con el mismo nombre, permitiendo que un atacante, desde una página web modificada adecuadamente, pueda ejecutar determinadas acciones sin las restricciones normales de seguridad impuestas en el Internet Explorer.
Una explotación exitosa, permite la ejecución de un script con código arbitrario en el contexto de otro sitio. Esto puede usarse para ejecutar código en un sitio de confianza, aún cuando el sitio visitado no se encuentra en dicha zona.
2. Sitios maliciosos pueden engañar a un usuario desprevenido, para realizar acciones como "arrastrar y soltar", o hacer clic sobre un recurso, sin su conocimiento.
Se ha proporcionado un ejemplo, que permite a un sitio agregar enlaces a la lista de Favoritos, sin la intervención directa del usuario. Sin embargo, la acción maliciosa podría aplicarse con cualquier otro recurso, incluso destructivo. Se trata de una variante de un fallo reportado anteriormente.
Una prueba de concepto, demuestra que esto puede combinarse con la vulnerabilidad en "shell:" (ver "Shell.Application, burla el parche de Microsoft", http://www.vsantivirus.com/vul-shellapplication.htm)
3. Es posible inyectar un script con código arbitrario en el enlace Canales de Favoritos, el cuál se ejecuta cuando un Canal es agregado. El script se ejecuta en la zona de seguridad local (Mi PC).
4. Es posible colocar contenido arbitrario sobre cualquier otra ventana o caja de diálogo, utilizando la función "Window.createPopup()". Esto puede utilizarse para alterar la apariencia de las cajas de diálogo y otras ventanas mostradas. Una explotación satisfactoria de esto, puede engañar a un usuario desprevenido para que ejecute programas sin advertencia alguna, o realice otras acciones bajo engaños (ingreso de datos críticos en falsas ventanas por ejemplo).
5. Es posible que sitios maliciosos inyecten un script en la zona de seguridad local, utilizando un marcador que se inserta en una página Web apuntando a una determinada dirección URL. Se ha reportado que esto afecta al Internet Explorer 6 ejecutándose bajo Windows XP SP2 (Release Candidate versión beta). Este problema no ha sido confirmado en Windows XP SP1 con todos los parches al día.
Todas estas vulnerabilidades, menos la 5, han sido confirmados en Windows XP SP1 con Internet Explorer 6, con todas las actualizaciones instaladas.
Versiones anteriores de estos programas, también podrían ser afectadas. Secunia informa que son vulnerables las siguientes versiones del Internet Explorer:
- Microsoft Internet Explorer 5.01
- Microsoft Internet Explorer 5.5
- Microsoft Internet Explorer 6
No hay solución de parte de Microsoft a la fecha de publicación de este artículo.
Sugerencias:
1. Actualizar los parches publicados por Microsoft desde Windows Update.
2. Configurar el "kill bit" de "ADODB.Stream", como se indica en el siguiente artículo:
Todo sobre ADODB.Stream y como proteger su PC
http://www.vsantivirus.com/faq-adodbstream.htm
3. Configurar el "kill bit" de "Shell.Application", como se indica en el siguiente artículo:
Shell.Application, burla el parche de Microsoft
http://www.vsantivirus.com/vul-shellapplication.htm
4. Configurar el Internet Explorer como se indica en el siguiente artículo:
Configuración personalizada para hacer más seguro el IE
http://www.vsantivirus.com/faq-sitios-confianza.htm
5. Configurar la Zona de seguridad local (Mi PC) sin ActiveX (como se indica en el punto 4), siguiendo las instrucciones del siguiente artículo:
Sobre las zonas de seguridad en Windows
http://www.vsantivirus.com/zonas-ie.htm
6. Ser cauteloso a la hora de agregar sitios de confianza, al seguir los pasos que se indican en el punto 4.
7. No seguir enlaces a sitios sugeridos en mensajes de cualquier correo electrónico no solicitado, aún cuando éste provenga de conocidos.
8. Ejecutar un cortafuegos que también controle el tráfico de salida (el cortafuegos integrado de Windows XP solo controla el tráfico entrante). ZoneAlarm es un buen recurso, y su uso es gratuito para usuarios personales (ver "Cómo configurar Zone Alarm", http://www.vsantivirus.com/za.htm)
9. Utilizar antivirus y actualizarlo constantemente (sugerimos una actualización automática cada una hora). Si utiliza conexión telefónica, al menos hágalo CADA VEZ que se conecta a Internet.
Más información: http://www.vsantivirus.com/vul-ie-13-07-04.htm