Georgi Guninski, habitual en nuestras noticias por sus frecuentes avisos de seguridad, vuelva a cobrar protagonismo al descubrir una nueva vulnerabilidad en toda la familia de Internet Explorer y Outlook.
La nueva vulnerabilidad puede permitir a un atacante leer archivos, direcciones URL absolutas y la estructura local de directorios del ordenador atacado. Para ello, basta con que el usuario afectado lea un mensaje html o consulte una página web.
El problema está en la posibilidad de especificar un codebase arbitrario para un applet de java cargado desde una etiqueta
Guninski presenta el siguiente código de ejemplo, en el que se asigna el codebase del applet a file:///c:/
El programa gjavacodebase.java debe trabajar de la siguiente forma: …….
try { u = new URL(getParameter("URL")); InputStream is=u.openStream(); byte ba[]=new byte[1000]; int l=is.read(ba); InputStream os=u.openConnection().getInputStream(); String s1=new String(ba,0,l); print(u.toString()); print(s1); }
……..
Esto no es un problema del lenguaje Java y segon afirma Guninski tampoco es un problema de la m quina virtual Java de Microsoft, sino que el fallo reside en la forma en que el codebase es asignado por Internet Explorer.
Opina sobre esta noticia: http://www.hispasec.com/unaaldiacom.asp?id=725
