Vulnerabilidades «zero day» en IE y Firefox

Michael Zalewski reportó públicamente varias vulnerabilidades del tipo Zero day en Microsoft Internet Explorer y Mozilla Firefox. Las mismas podrían permitir acciones como la descarga y ejecución de archivos, la falsificación de sitios web (phishing), o ataques de denegación de servicio (DoS). La primera de ellas afecta al Internet Explorer 6 y 7, con todos los parches al día.

Se produce por una «Race condition» o «condición de desincronización». Este tipo de vulnerabilidades ocurren cuando un evento se lleva a cabo fuera del periodo previsto, con un resultado imprevisible.

En este caso, se produce durante la actualización de una página web, y está relacionada con el uso de JavaScript no seguro. Puede permitir acciones como el robo de cookies, la inyección de scripts maliciosos, o el secuestro de una página web.

También se produce una corrupción en la memoria utilizada por el programa, provocando una denegación de servicio (el programa deja de responder).

La segunda vulnerabilidad, del tipo Cross-Site-Scripting (XSS), afecta a Firefox, y permite eludir las restricciones del navegador para ejecutar scripts (archivos de comandos).

Esto podría ser utilizado para inyectar código malicioso en el equipo (por ejemplo keylogers y otros troyanos). Afecta a Firefox 2.0.0.4 inclusive, y es una variante de otra previamente reportada y solucionada en versiones anteriores.

La tercera vulnerabilidad, también relacionada con Firefox, habilita la descarga y ejecución de archivos sin el conocimiento del usuario.

El problema se produce en una característica implementada en algunas ventanas de diálogo de Firefox, para permitir cierto retraso en la descarga de archivos hasta que la misma es confirmada. La vulnerabilidad afecta a Firefox 2.0.0.4 y anteriores.

La cuarta vulnerabilidad afecta a Internet Explorer 6. Permite simular una barra de direcciones falsa y su contenido, pudiendo ser utilizada para ataques de phishing. Microsoft Internet Explorer 7 es inmune a este fallo.

Otros productos podrían ser afectados por algunas de estas vulnerabilidades, pero no se han realizado pruebas al momento de publicarse esta alerta.

Se han publicado en Internet, pruebas de concepto de estas vulnerabilidades.

Tanto Microsoft como Mozilla están enterados de los problemas y se espera que en próximas actualizaciones los corrijan.

Notamental: se define como «Zero Day» (o Día Cero), a cualquier exploit que no haya sido mitigado por un parche del vendedor.

Xbox incorporará control similar al de Wii (empieza la disputa)

En el marco de una presentación conjunta con Steve Jobs, Bill Gates reveló que Xbox incorporará a futuro un sensor de movimientos.

Durante una conversación pública sostenida con Steve Jobs en el marco de la feria All Things Digital, Bill Gates indicó que Microsoft trabaja en el desarrollo de un controlador sensible al movimiento, que será incorporado a futuras versiones de la consola Xbox.

Sin embargo, Gates no admite que el controlador será similar al de Wii. Anteriormente, Microsoft ha criticado la consola de Nintendo llegando incluso a la ridiculización.

«No, no tienen nada que ver. No puedes coger tu raqueta de tenis y jugar con ella. No puedes estar sentado con tus amigos y hacer cosas totalmente naturales», indicó Gates.

Tecnología intuitiva
Gates precisa que mientras Wii está basada en un esquema de posicionamiento 3D, Microsoft habla de un controlador con reconocimiento de video; es decir, una cámara que visualiza e interpreta imágenes para hacerse una idea de lo que está ocurriendo.

Si la visión esbozada por Gates se hace realidad, la solución interactiva del futuro consistirá de una cámra que verá al usuario portando una raqueta de tenis, y «entenderá» que este desea jugar.

Fuente: DiarioTi.