Otra vulnerabilidad que afecta a IE7 y Firefox

Búsqueda rápida |

Archivo |

Escribe tu búsqueda:

Archivo por fechas:

Febrero

Otra vulnerabilidad que afecta a IE7 y Firefox

Por Nico. No hay comentarios. Guardado en Noticias, Seguridad

Leo en Secunia sobre una nueva vulnerabilidad en IE7 que favorecería el phishing. El fallo en cuestión trata en la forma en que IE7 maneja el evento Javascrip t onUnload, lo cual posibilitaría a un sitio malintencionado frenar la carga de una nueva página. Por ejemplo, al escribir la dirección web en la barra de direcciones y dar la orden de abrir la página, se ejecuta en lugar de ello un código Javascript malintencionado que podría incluso darnos a entender que realmente estamos visitando el sitio que queríamos, ya que en la barra de direcciones se mostrará la dirección que hemos ingresado. Esta vulnerabilidad fue investigada también por Zalewski, quien nos deja la siguiente demostracón online:

http://lcamtuf.coredump.cx/ietrap/

Para comprobarlo, simplemente intentan abrir cualquier página web escribiéndola en la barra de direcciones. En mi caso el IE7 cae en la trampa, mientras que mi Firefox 2.0.0.2 muestra una página en blanco en su lugar, por lo que queda la duda.

Esto no queda acá. Unas horas después Zalewski realizó una variacón de esta vulnerabilidad que afecta a IE7 y Firefox y que es incluso más crítica ya que produce una corrupcón de memoria y eventualmente permitiría la ejecucón de código malicioso en la máquina. Pueden realizar la demostracón a continuación.

http://lcamtuf.coredump.cx/ietrap/testme.html

En mi caso IE7 se colgó con el siguiente mensaje:

Firefox 2.0.0.2 no se colgó, aunque según Zalewski puede hacer falta realizar la demostracón varias veces. Me dón curiosidad ver que pasaba con Minefield 3a3 (Firefox 3) y en este caso se colgó de la misma manera:

Según Zalewski, la vulnerabilidad le permite a un sitio malicioso rastrar nuestros movimientos, ya que puede aprovechar el fallo para redireccionar el navegador al sitio correcto o a uno fraudulento, en ambos casos sabiendo a donde queremos dirigirnos.