|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| Excel XP puede ejecutar código sin advertencias | ||
|---|---|---|
VSantivirus No. 688 - Año 6 - Domingo 26 de mayo de 2002 Excel XP puede ejecutar código sin advertencias http://www.vsantivirus.com/gun55.htm Aviso de seguridad: Excel XP puede ejecutar código sin advertencias Nombre original: Excel XP xml stylesheet problems Fecha original: 24/may/02 Autor/descubridor: Georgi Guninski <guninski@guninski.com> Aplicación vulnerable: Excel XP Riesgo: Bajo (se requiere la interacción del usuario) Fabricante: Microsoft (advertido el 23/may/02) Referencia: Georgi Guninski security advisory #55, 2002 Excel XP incorpora la posibilidad de emplear en sus planillas y libros de trabajo, nuevas tecnologías como las proporcionadas por código XML o XSLT. Sin embargo, cuando un usuario abre un archivo .XLS que incluye este tipo de anexo, y selecciona verlo, también se ejecuta cualquier contenido con código arbitrario incorporado a las hojas de estilo XML. Un escritor de virus o código malicioso puede aprovechar esto, para crear un código que ejecutado bajo estas circunstancias, podría tomar el control de la computadora de la víctima. Excel no emite ningún tipo de alerta ante la posibilidad de esta situación, solo pregunta si se desea usar las hojas de estilo o no. La opción por defecto es no mostrar las hojas de estilo. Pero esta es la única "protección" que puede tener un usuario sin experiencia en este tipo de riesgo. En su sitio, Guninski muestra un ejemplo de esta situación: ------xls_sux.xls----- Este código contiene un archivo XML y una hoja de estilo en un solo archivo, y ejecuta un comando (un simple
DIR), sin ninguna advertencia para el usuario. Cualquier otro comando, incluyendo alguno dañino para la computadora en que se ejecute, podría ser empleado. |
||
