Vulnerabilidades “zero day” en IE y Firefox

Michael Zalewski reportó públicamente varias vulnerabilidades del tipo Zero day en Microsoft Internet Explorer y Mozilla Firefox. Las mismas podrían permitir acciones como la descarga y ejecución de archivos, la falsificación de sitios web (phishing), o ataques de denegación de servicio (DoS). La primera de ellas afecta al Internet Explorer 6 y 7, con todos los parches al día.

Se produce por una “Race condition” o “condición de desincronización”. Este tipo de vulnerabilidades ocurren cuando un evento se lleva a cabo fuera del periodo previsto, con un resultado imprevisible.

En este caso, se produce durante la actualización de una página web, y está relacionada con el uso de JavaScript no seguro. Puede permitir acciones como el robo de cookies, la inyección de scripts maliciosos, o el secuestro de una página web.

También se produce una corrupción en la memoria utilizada por el programa, provocando una denegación de servicio (el programa deja de responder).

La segunda vulnerabilidad, del tipo Cross-Site-Scripting (XSS), afecta a Firefox, y permite eludir las restricciones del navegador para ejecutar scripts (archivos de comandos).

Esto podría ser utilizado para inyectar código malicioso en el equipo (por ejemplo keylogers y otros troyanos). Afecta a Firefox 2.0.0.4 inclusive, y es una variante de otra previamente reportada y solucionada en versiones anteriores.

La tercera vulnerabilidad, también relacionada con Firefox, habilita la descarga y ejecución de archivos sin el conocimiento del usuario.

El problema se produce en una característica implementada en algunas ventanas de diálogo de Firefox, para permitir cierto retraso en la descarga de archivos hasta que la misma es confirmada. La vulnerabilidad afecta a Firefox 2.0.0.4 y anteriores.

La cuarta vulnerabilidad afecta a Internet Explorer 6. Permite simular una barra de direcciones falsa y su contenido, pudiendo ser utilizada para ataques de phishing. Microsoft Internet Explorer 7 es inmune a este fallo.

Otros productos podrían ser afectados por algunas de estas vulnerabilidades, pero no se han realizado pruebas al momento de publicarse esta alerta.

Se han publicado en Internet, pruebas de concepto de estas vulnerabilidades.

Tanto Microsoft como Mozilla están enterados de los problemas y se espera que en próximas actualizaciones los corrijan.

Notamental: se define como “Zero Day” (o Día Cero), a cualquier exploit que no haya sido mitigado por un parche del vendedor.

Anuncios

0 Responses to “Vulnerabilidades “zero day” en IE y Firefox”



  1. Dejar un comentario

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s




Blog Stats

  • 612,248 visitas

RSS

Feed
junio 2007
L M X J V S D
« May   Jul »
 123
45678910
11121314151617
18192021222324
252627282930  

Usuarios online:

counter

Otras URL’s

TiraEcol

Tira Ecol
BlogESfera Directorio de Blogs Hispanos - Agrega tu Blog
Google PageRank 
		Checker

A %d blogueros les gusta esto: