Vulnerabilidad en IE trae problemas al Messenger

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

Vulnerabilidad en IE trae problemas al Messenger
	VSantivirus No. 584 - Año 6 - Lunes 11 de febrero de 2002 Vulnerabilidad en IE trae problemas al Messenger http://www.vsantivirus.com/11-02-02.htm Publicado originalmente en Virus Attack! http://virusattack.xnetwork.com.ar/noticias/VerNoticia.php3?idnotas=155 Un agujero de seguridad reportado el día de ayer puede permitir que una página de Internet o mensaje de correo electrónico envíe mensajes o archivos a la lista de contactos del MSN Messenger sin el conocimiento de su usuario. Aprovechando dos vulnerabilidades relacionadas con controles ActiveX y el Internet Explorer 5.5 o superior, es posible tomar control casi completo del mensajero instantáneo de Microsoft, ya sea en forma local, o desde una página web o mensaje de correo electrónico en formato HTML. El descubrimiento es obra de Tom Gilder y Thor Larholm, y fue publicado en Internet el 9 de Febrero. Además de detalles técnicos de como aprovecharlo, incluyeron una página para evaluar si un sistema es vulnerable, a través de la cual pudimos comprobar la veracidad de sus dichos. En sí, el cliente del MSN Messenger no es vulnerable, sino que es posible controlarlo aprovechando una vulnerabilidad existente en el método Document.Open(), que fue descubierta hace dos meses, pero aún no fue corregida por Microsoft. Este agujero de seguridad es propio del Internet Explorer, en cualquiera de sus versiones superiores a la 5.5 inclusive. Esta función es utilizado para abrir nuevas páginas o ventanas desde un sitio de Internet, a través de JavaScript o VBScript, pero a partir de un error en su validación, es posible realizar todo tipo de acciones que violen la seguridad de un equipo con Internet Explorer. En la página de demostración es posible ver como la lista de contactos del usuario que accede a ella es cargada dentro del sitio, y desde allí se puede enviar mensajes e incluso archivos a cualquiera de ellos. Gilder y Larholm, explican en su informe, que este descubrimiento es una extensión del agujero de seguridad reportado recientemente por Richard Burton. Lo que descubrió Burton es que es posible aprovechar ciertas funcionalidades del MSN Messenger a través de un sitio de Internet, utilizando simples funciones de JavaScript o VBScript. Pero, volviendo a lo reportado por Gilder y Larholm, estos han hecho público el ejemplo para aprovechar el MSN Messenger desde la vulnerabilidad en el Internet Explorer, a fin de poner presión en Microsoft, y que éste solucione el agujero de seguridad de una vez por todas, ya que, como se dijo antes, hace dos meses que fue descubierto el problema en el método Document.Open(). Al momento de publicar esto, no existía un parche para solucionar el problema, y cualquier equipo con Internet Explorer 5.5 o superior, y MSN Messenger es vulnerable. Para evitar que un sitio de Internet se aproveche de este agujero de seguridad, la única solución es deshabilitar la ejecución de scripting y de controles ActiveX desde el panel de Seguridad del Internet Explorer. Más información Tom.me.uk MSN Messenger Hijacking http://tom.me.uk/msn/ SecurityFocus.com Microsoft IE Same Origin Policy Violation Vulnerability http://www.securityfocus.com/bid/3721 Virus Attack! MSN Messenger atenta contra la privacidad http://virusattack.xnetwork.com.ar/noticias/VerNoticia.php3?idnotas=151 VSantivirus No. 580 - 7/feb/02 MSN Messenger puede revelar datos personales en la Web http://www.vsantivirus.com/07-02-02b.htm (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com