Ahora si. Microsoft reconoce como "crítica" esta falla

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

Ahora si. Microsoft reconoce como "crítica" esta falla
	VSantivirus No. 885 - Año 7 - Lunes 9 de diciembre de 2002 Ahora si. Microsoft reconoce como "crítica" esta falla http://www.vsantivirus.com/09-12-02.htm Por Jose Luis Lopez videosoft@videosoft.net.uy Después de los comentarios negativos recibidos respecto al tratamiento como "moderada" de una "nueva" vulnerabilidad del Internet Explorer (en teoría solucionada con el último parche acumulativo), Microsoft actualizó su boletín MS02-068 para catalogar ahora si como "crítica", esta falla, reconociendo al fin que el problema es más importante que lo mencionado al principio. Sin embargo, para un reconocido experto de seguridad, catalogar la falla con menos importancia de la real, fue un acto deliberado de Microsoft. En la primera versión del boletín (ver "Nuevos parches para Outlook 2002 e Internet Explorer", http://www.vsantivirus.com/vulms02-067-068.htm), la empresa habla de una nueva vulnerabilidad que podría permitir el acceso a información en las computadoras de los usuarios, pero afirma que un atacante podría leer pero no modificar datos ni ejecutar comandos, en un PC con el Internet Explorer sin el último parche. Sin embargo, esto fue desmentido por el experto. "Microsoft ha dado a esta vulnerabilidad una valoración de 'moderada'. Magnífico, así que la ejecución arbitraria de comandos, leer archivos locales y comprometer al sistema es una falla moderada según Microsoft", escribió Thor Larholm, un reconocido investigador de origen danés residente en California. Larholm aseguraba, que contrariamente a la descripción que Microsoft hace del problema, un atacante que explote dicha vulnerabilidad puede llegar a modificar archivos en la computadora local, copiar archivos en forma arbitraria, y ejecutar cualquier código en forma remota, con o sin parámetros. Oficialmente, Microsoft dijo al principio no haber podido reproducir lo dicho por Larholm, a pesar de las exhaustivas pruebas realizadas. "Tomamos el asunto con mucha seriedad, pero no encontramos una manera de realizar una acción como la descripta", dijo David Gardner, jefe del programa de seguridad de Microsoft. La vulnerabilidad, presente en el Internet Explorer 5.5 y 6.0, está relacionada con la forma de controlar un modelo de seguridad llamado "cross-domain" (dominio cruzado). Básicamente, permite que un atacante pueda acceder al PC atacado, como si fuera un usuario local. Para ello, solo basta hacerle visitar a éste último una página Web o ver un mensaje con formato, modificado en forma premeditada y casi siempre maliciosa. No es la primera vez que una falla relacionada con esto, ha sido detectada y luego solucionada en el Explorer. En concreto, el navegador realiza un chequeo de seguridad incompleto sobre ciertas técnicas relacionadas con el uso del caché en las páginas Web. El atacante también puede explotar la falla a través de mensajes electrónicos con formato HTML, o induciendo al usuario a hacer doble clic sobre un enlace a una página modificada. Según Larholm, cuando Microsoft liberó el parche anterior al actual, (apenas dos semanas antes), no mencionó que la falla más importante no era solucionada. En nuestro sitio, se advierte de lo peligroso de esta falla desde el pasado 9 de noviembre (ver "Precaución con grave falla en el Internet Explorer", http://www.vsantivirus.com/09-11-02b.htm). Y el parche del 20 de noviembre (boletín MS02-066), no solucionaba el problema, como decíamos en la actualización del mismo artículo el 21 de noviembre. Para Larholm, el hecho que Microsoft sacara un nuevo parche acumulativo, a solo dos semanas del anterior, demuestra que el problema era importante. Sin embargo, también según Larholm, seguramente para obtener "buena prensa", Microsoft no catalogó este segundo parche de crítico, como debería haberlo hecho. Finalmente, recién el 6 de diciembre, Microsoft lanzó la versión 2.0 del boletín MS02-068, donde declara que se trata de una actualización solo de la descripción (el parche en si, es el mismo lanzado el 4 de diciembre). Y también dice que desde la fecha de la primera publicación hasta la actual, ha "recibido informes que sugieren que una de las vulnerabilidades mencionadas en el boletín, podría explotarse para ejecutar código en forma arbitraria", admitiéndolo por primera vez como posible. En concreto, la falla mencionada en nuestro artículo del 9 de noviembre, puede ser solucionada con la instalación del último parche acumulativo del producto. Más detalles del mismo en "Nuevos parches para Outlook 2002 e Internet Explorer", http://www.vsantivirus.com/vulms02-067-068.htm. Relacionados: Nuevos parches para Outlook 2002 e Internet Explorer http://www.vsantivirus.com/vulms02-067-068.htm Precaución con grave falla en el Internet Explorer http://www.vsantivirus.com/09-11-02b.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com