Internet Explorer 8 esta bajo amenaza

Problema de seguridad en la protección contra ataques XSS en Internet Explorer 8

Fecha de Publicación: 2009-11-26 12:06:00 Inteco-Cert y Ontinet

Sistemas Afectados Internet Explorer 8.

Descripción: Se ha publicado una vulnerabilidad que afecta al navegador Internet Explorer 8, más concretamente al filtro que alerta al usuario de un posible ataque de secuencias de comandos en sitios cruzados (XSS). El componente no funciona de la forma esperada.

Recientemente, se ha descubierto una vulnerabilidad en las versiones 6 y 7 e-mail que hemos enviado con anterioridad comentando el riesgo del navegador Internet Explorer que permitiría ejecutar código no autorizado en aquellas máquinas que aun tuviesen estas versiones del navegador de Microsoft. Esta vulnerabilidad afecta a varias versiones de Windows que tengan instalados los navegadores afectados, según el estudio realizado por la empresa Vupen Security.

Actualmente, la solución pasaría por desactivar el Active scripting en las zonas de seguridad locales y de Internet dentro del navegador o por actualizar a la versión 8 de Internet Explorer.

Sin embargo, la última versión de Internet Explorer (La 8)  también contiene un error que podría ser aprovechado para introducir código XSS en páginas Web seguras, convirtiéndolas en una amenaza. Estos ataques pueden modificar el enlace de una Web para introducir código malicioso en la misma, de manera que un usuario sea infectado cuando acceda a una Web que considera de confianza.

No se han detectado ataques masivos, se espera que Microsoft lance sus correspondientes parches de seguridad con carácter de urgencia para evitar que su navegador se convierta en un incontrolado vector de ataque aprovechado masivamente.

Impacto: Un atacante podría realizar un ataque XSS a una página que aparezca como segura.

Solución: Hasta que aparezca una solución oficial para resolver este problema, es aconsejable la utilización de otros navegadores, que aunque no tengan esa protección, al menos no producirán situaciones de confusión en cuanto a páginas seguras y no seguras.

Detalle: Esta funcionalidad que estaba diseñada para protegernos de ataques XSS o Cross Site Scripting, que son una forma de manipular la URL del sitio para inyectar código malicioso o contenido en una página Web confiable, afecta el filtrado de XSS en el IE 8, este problema conlleva la aparición de falsos positivos -la Web aparece como no confiable cuando lo es- y falsos negativos -la Web aparece como confiable cuando se trata de una pagina maliciosa-.

Si tiene dudas y necesita mas ayuda, no dude en ponerse en contacto con nosotros (el equipo de MANPRESEG), Manténgase actualizado con información importante de seguridad y permita que otros también lo hagan de forma gratuita inscribiéndose en la Web.