Algunas vulnerabilidades han sido descubiertas en el navegador Internet Explorer que pueden comprometer el sistema del usuario.
En el reporte SA12889 generado por Secunia, organización dedicada al ámbito de la seguridad informática, el día 12 de Enero del presente año, se han señalado tres nuevas vulnerabilidades de carácter crítico en Internet Explorer.
Las vulnerabilidades encontradas en Internet Explorer, además de comprometer el sistema del usuario, pueden saltar las características de seguridad en Microsoft Windows con Service Pack 2 y presenta un error en la restricción de zonas.
1.Validación insuficiente de las acciones de arrastrar y soltar para imágenes o elementos multimedia insertados en el código HTML entre las zonas de Internet y la de recursos locales. La vulnerabilidad puede ser aprovechada por ejemplo por un sitio
web malintencionado para copiar archivos en el computador del usuario o permitir la ejecución de código arbitrario en la zona local del usuario, es decir en su PC.
Esta vulnerabilidad es una variante del reporte SA12321 de Secunia.
Nota: Microsoft Windows con Service Pack 2 no permite la ejecución de código arbitrario en la zona local.
2.Un error en la restricción de zonas, donde una ayuda de control de HTML insertada en un sitio web malicioso que hace referencia a un índice especialmente construido "un archivo (.hhk)" puede permitir ejecutar archivos HTML locales o introducir código que se ejecutara de manera local en el contexto de un documento cargado que utilice javascript. La explotación acertada de esta vulnerabilidad puede permitir además de la ejecución del código HTML arbitrario, la escritura de código malicioso en la sesión de navegador de un usuario o la ejecución de programas locales con permisos de usuario local
3.Otro error en la restricción de ejecución a partir del enlace "Temas similares" dentro de un archivo .hhk. Esta vulnerabilidad también puede ser utilizada para ejecutar código en la zona local.
Secunia ha construido una prueba, que puede ser usada para comprobar si su navegador se encuentra afectado por este problema:
http: // secunia.com/internet_explorer_command_execution_vulnerability_test/
La vulnerabilidad 1 y 2, o sólo la 3, en combinación con con un comportamiento inapropiado del ActiveX Data Object (ADO) permite escribir archivos arbitrarios que pueden ser utilizados para comprometer el sistema del usuario, esta pruebas se han hecho sobre un equipo completamente parchado con Internet Explorer 6.0 y Microsoft Windows XP SP2.
Solución:
En el momento no se ha publicado un parche específico para eliminar estas vulnerabilidades, pero por el momento, el proveedor recomienda lo siguiente:
Para la vulnerabilidad #1 el vendedor recomienda que las opciones de "Drag and Drop" y "Copy and Paste" de archivos sean deshabilitados.
Para las vulnerabilidades 2 y 3 se recomienda instalar los siguientes parches.
Microsoft Windows 2000 (requiere Service Pack 3 o Service Pack 4):
http://www.microsoft.com/downloa...11C0-EF09-4295-8FB2-0FF17BA65460
Microsoft Windows XP (requiere Service Pack 1 o Service Pack 2):
http://www.microsoft.com/downloa...1B00-298D-4C0C-A26F-AAEDF163FEB7
Microsoft Windows XP 64-Bit Edition (requiere Service Pack 1):
http://www.microsoft.com/downloa...8C5F-3A97-4B89-96C3-AAEFFCE28535
Microsoft Windows XP 64-Bit Edition Version 2003:
http://www.microsoft.com/downloa...78C9-57FB-45A9-B5C2-234AD538D6CC
Microsoft Windows Server 2003:
http://www.microsoft.com/downloa...19FE-F6DB-4666-A247-339F55B059CC
Microsoft Windows Server 2003 64-Bit Edition:
http://www.microsoft.com/downloa...78C9-57FB-45A9-B5C2-234AD538D6CC
Microsoft Windows NT Server 4.0 (requiere Service Pack 6a) y Microsoft Windows NT Server 4.0 Terminal Server Edition (requiere Service Pack 6):
http://www.microsoft.com/downloa...22A9-98C6-4661-9B8D-6C59C8812071
|
