Secunia ha publicado un boletín donde informa del descubrimiento de tres vulnerabilidades de seguridad en Internet Explorer 6:
* Validación no adecuada de los eventos de arrastrar y soltar para elementos multimedia insertados dentro del código HTML (imágenes, animaciones, películas.) entre la zona «Internet» y los recursos locales. La vulnerabilidad puede ser aprovechada por una sede web malévola para copiar archivos en el ordenador del usuario, que en caso de ejecutarse lo harían en la zona local.
* Un error en la restricción de zonas que puede ser utilizada, a través de archivos .HHK, para ejecutar archivos HTML locales o inyectar código que se ejecutará en la zona local.
* Otro error en la restricción de ejecución a partir del enlace «Temas similares» dentro de un archivo .HHK. Esta vulnerabilidad también puede ser utilizada para ejecutar código en la zona local.
Todas estas vulnerabilidades pueden ser utilizadas, conjuntamente con otros problemas, por parte de atacantes remotos para acceder al sistema de archivos de los usuarios permitiendo, por ejemplo, el borrado de archivos.
En el momento de escribir este boletín, Microsoft no ha confirmado la existencia de estas vulnerabilidades ni ha anunciado la disponibilidad de ningún parche. Secunia dispone de una prueba de concepto que permite verificar si se es vulnerable a estos nuevos problemas.
Hoy por hoy la única solución efectiva pasa por la utilización de un navegador diferente a Internet Explorer, como puede ser Firefox 1.0
Otras medidas de prevención pasan por desactivar el soporte de las funciones de arrastrar y soltar y el contenido activo en Internet Explorer 6. No obstante, esto puede afectar la funcionalidad del producto, especialmente cuando se utiliza para la ejecución de las aplicaciones que habitualmente se encuentran en las intranets de las empresas.
Xavier Caballé
xavi@hispasec.com
Noticias Hispasec
Links Relacionados (por Informativos.Net):
Web de Mozilla Firefox 1.0 : http://www.mozilla-europe.org/es/
Descarga Mozila Firefox 1.0 (4,5 Mb): Descargar (para Windows)
Notas:
Lo hemos probado y no es operativo si ha de realizar operaciones bancarias (fallan las funcionalidades de formularios), trabajar en intranets (fallan funcionalidades de formularios, ‘desaparecen’ botones de confirmación, no funcionan los menús desplegables, etc… ), etc.
Sin problemas para navegación -sin pretensiones- por la red.
Han de mejorarse los plug-ins y su integración con el navegador.
