Parche acumulativo para Internet Explorer
6 nuevas vulnerabilidades son las razones por las cuales Microsoft ha decidido sacar otro parche para su navegador Web. Este es un parche acumulativo que incluye las funcionalidades de todos los anteriores parches para Internet Explorer y además elimina 6 nuevas vulnerabilidades.
Aunque Microsoft haya anunciado que una de las próximas prioridades de la compañía será la seguridad, aún seguimos observando como van apareciendo parches y parches para errores de implementación o programación en sus programas más usados, léase Internet Explorer, Microsoft Office o el servidor de Internet IIS.
Por ello, es conveniente, de vez en cuando, visitar la página de Microsoft (además de los enlaces que vamos colocando en esta sección –esperemos que ya tengan una buena lista de favoritos–) para comprobar los últimos parches disponibles para los productos de la multinacional americana. Apunte en su calendario visitar la página www.microsoft.com/win dows/security/default.asp al menos una vez al mes (incluso si es más frecuentemente, mejor).
En los siguientes párrafos comentaremos los nuevos fallos de seguridad de Internet Explorer así como algunos consejos que nunca vendrán mal.
Cross-Site Scripting
La instalación estándar de IE contiene ficheros HTML –que se almacenan en las carpetas locales del equipo en el que se instala– que proporcionan diversas funcionalidades. Uno de estos archivos contiene una vulnerabilidad del tipo cross-site scripting que puede permitir a un script de una página web que sea ejecutado en el sistema operativo como si hubiera sido lanzado por el usuario mismo, causando que se ejecute en la zona local (o zona intranet) del sistema.
Un atacante podría construir una página web que explotara esta vulnerabilidad y, entonces publicarla en un servidor Web o enviarla como un email en formato HTML a la víctima. Cuando dicha página es vista y el script del atacante se ejecuta, éste es automáticamente promovido de la zona de Internet (Internet Zone) a la zona intranet (Local Computer Zone). En esta última zona es donde menores restricciones se aplican y por lo tanto la más peligrosa a la hora de ejecutar script de terceros de dudosa procedencia.
Consejo
Además de aplicar el parche correspondiente (la dirección de descarga se encuentra al final del artículo), es conveniente deshabilitar la ejecución de código JavaScript y demás lenguajes de script para prevenir futuros ataques similares a este.
Revelación de información
Es posible, gracias a esta vulnerabilidad, leer cualquier archivo del sistema desde un servidor Web, es decir, si el usuario navega a través de unas páginas que contienen el código atacante, la información de su disco duro podría ser fácilmente accesible para la máquina remota.
No es posible, a través de este fallo, modificar, copiar o borrar archivos del sistema local, sólo afecta a la hora de leer archivos.
Al igual que la vulnerabilidad anterior, también se podría conseguir el mismo efecto si el código maligno se propagara a través de un correo electrónico.
En el caso de que un hacker quisiera leer un archivo en particular, deberá conocer la ruta completa del archivo en cuestión, por lo que no necesariamente tendrá acceso a todos nuestros documentos privados; aunque, claro, existen archivos estándar con información confidencial como podría ser los archivos .PST de Outlook o incluso la base de usuarios del sistema o SAM (Security Account Manager). Esta última posibilidad podría ser la más peligrosa, ya que permitiría a un hacker intentar reventar el archivo de claves –usando el software LC4 (www.atstake.com/research/lc/), por ejemplo– para después hacerse con el control del sistema como si se tratase de un usuario legítimo.
Outlook 98 y 2000 (después de instalar la actualización Outlook Email Security Update, www.slipstick.com/outlook/esecup.htm). Outlook 2002, y Outlook Express 6 todos abren correos en HTML en la zona restringida de las propiedades de Internet. Como resultado, no son directamente vulnerables a no ser que el usuario pulse sobre un enlace HTML que le redirija a la zona de Internet.
Consejo
Un buen consejo es indicar a Outlook que lea los mensajes nuevos como archivos de texto en lugar de HTML, así no seremos vulnerables a este ni a cualquier ataque que use lenguajes tipo script (como el virus I Love You).
Lectura de cookies sin confirmación
Las cookies son pequeños archivos que guardan información privada para cada sitio de Internet determinado, y por lo tanto están protegidas para que un sitio web no lea el contenido de las cookies de otro sitio.
Este sería el funcionamiento normal, pero como ya habrá adivinado, existe una vulnerabilidad en el navegador de Microsoft que permite que se produzca la situación inversa.
Lo curioso de este fallo, es que el código necesario para leer una cookie, digamos de un sitio de la competencia, se encuentra en otra cookie que el servidor Web atacante ha enviado a su cliente. Además de poder leer el contenido de la cookie de la víctima –para después enviar esta información al servidor–, también es posible modificarla, agravando más aún la situación.
Para la explotación total de esta vulnerabilidad, será necesario que el código atacante conozca exactamente el nombre de la cookie que quiere desvelar, pero, al ser un ataque muy específico, las probabili
Aunque Microsoft haya anunciado que una de las próximas prioridades de la compañía será la seguridad, aún seguimos observando como van apareciendo parches y parches para errores de implementación o programación en sus programas más usados, léase Internet Explorer, Microsoft Office o el servidor de Internet IIS.
Por ello, es conveniente, de vez en cuando, visitar la página de Microsoft (además de los enlaces que vamos colocando en esta sección –esperemos que ya tengan una buena lista de favoritos–) para comprobar los últimos parches disponibles para los productos de la multinacional americana. Apunte en su calendario visitar la página www.microsoft.com/win dows/security/default.asp al menos una vez al mes (incluso si es más frecuentemente, mejor).
En los siguientes párrafos comentaremos los nuevos fallos de seguridad de Internet Explorer así como algunos consejos que nunca vendrán mal.
Cross-Site Scripting
La instalación estándar de IE contiene ficheros HTML –que se almacenan en las carpetas locales del equipo en el que se instala– que proporcionan diversas funcionalidades. Uno de estos archivos contiene una vulnerabilidad del tipo cross-site scripting que puede permitir a un script de una página web que sea ejecutado en el sistema operativo como si hubiera sido lanzado por el usuario mismo, causando que se ejecute en la zona local (o zona intranet) del sistema.
Un atacante podría construir una página web que explotara esta vulnerabilidad y, entonces publicarla en un servidor Web o enviarla como un email en formato HTML a la víctima. Cuando dicha página es vista y el script del atacante se ejecuta, éste es automáticamente promovido de la zona de Internet (Internet Zone) a la zona intranet (Local Computer Zone). En esta última zona es donde menores restricciones se aplican y por lo tanto la más peligrosa a la hora de ejecutar script de terceros de dudosa procedencia.
Consejo
Además de aplicar el parche correspondiente (la dirección de descarga se encuentra al final del artículo), es conveniente deshabilitar la ejecución de código JavaScript y demás lenguajes de script para prevenir futuros ataques similares a este.
Revelación de información
Es posible, gracias a esta vulnerabilidad, leer cualquier archivo del sistema desde un servidor Web, es decir, si el usuario navega a través de unas páginas que contienen el código atacante, la información de su disco duro podría ser fácilmente accesible para la máquina remota.
No es posible, a través de este fallo, modificar, copiar o borrar archivos del sistema local, sólo afecta a la hora de leer archivos.
Al igual que la vulnerabilidad anterior, también se podría conseguir el mismo efecto si el código maligno se propagara a través de un correo electrónico.
En el caso de que un hacker quisiera leer un archivo en particular, deberá conocer la ruta completa del archivo en cuestión, por lo que no necesariamente tendrá acceso a todos nuestros documentos privados; aunque, claro, existen archivos estándar con información confidencial como podría ser los archivos .PST de Outlook o incluso la base de usuarios del sistema o SAM (Security Account Manager). Esta última posibilidad podría ser la más peligrosa, ya que permitiría a un hacker intentar reventar el archivo de claves –usando el software LC4 (www.atstake.com/research/lc/), por ejemplo– para después hacerse con el control del sistema como si se tratase de un usuario legítimo.
Outlook 98 y 2000 (después de instalar la actualización Outlook Email Security Update, www.slipstick.com/outlook/esecup.htm). Outlook 2002, y Outlook Express 6 todos abren correos en HTML en la zona restringida de las propiedades de Internet. Como resultado, no son directamente vulnerables a no ser que el usuario pulse sobre un enlace HTML que le redirija a la zona de Internet.
Consejo
Un buen consejo es indicar a Outlook que lea los mensajes nuevos como archivos de texto en lugar de HTML, así no seremos vulnerables a este ni a cualquier ataque que use lenguajes tipo script (como el virus I Love You).
Lectura de cookies sin confirmación
Las cookies son pequeños archivos que guardan información privada para cada sitio de Internet determinado, y por lo tanto están protegidas para que un sitio web no lea el contenido de las cookies de otro sitio.
Este sería el funcionamiento normal, pero como ya habrá adivinado, existe una vulnerabilidad en el navegador de Microsoft que permite que se produzca la situación inversa.
Lo curioso de este fallo, es que el código necesario para leer una cookie, digamos de un sitio de la competencia, se encuentra en otra cookie que el servidor Web atacante ha enviado a su cliente. Además de poder leer el contenido de la cookie de la víctima –para después enviar esta información al servidor–, también es posible modificarla, agravando más aún la situación.
Para la explotación total de esta vulnerabilidad, será necesario que el código atacante conozca exactamente el nombre de la cookie que quiere desvelar, pero, al ser un ataque muy específico, las probabili
