Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
 

Busque su tema:

VSantivirus  Internet
Proporcionado por FreeFind

Video Soft BBS
Menú Principal
Anti Trojans
Antivirus
Hoaxes
Subscripciones
Otro software
Artículos
Links
Sugerencias
Sobre el BBS
Direcciones
Galería
Chat

       

Vulnerabilidad en IE al enviar archivos a Internet
 
VSantivirus No 2556 Año 11, viernes 28 de setiembre de 2007

Vulnerabilidad en IE al enviar archivos a Internet
http://www.vsantivirus.com/vul-ie-bid-25836.htm

Por Angela Ruiz
angela@videosoft.net.uy

Microsoft Internet Explorer es propenso a una vulnerabilidad que permite la revelación de información. La misma podría ser utilizada por un atacante para acceder de forma arbitraria al contenido de archivos en el equipo de la víctima.

El problema es similar a una vulnerabilidad ya corregida en Mozilla Firefox, y está relacionado con una característica de diseño que permite un incorrecto manejo de los campos de un formulario.

Un atacante puede cambiar el foco de la selección de un evento mostrado en pantalla, manipulando la función "onKeyDown" de JavaScript. Dicho evento define las acciones a realizar cuando se pulsa una tecla.

De esta manera, se pueden eludir las restricciones de seguridad en JavaScript, que permiten que cuando un usuario sube un archivo a algún sitio de Internet, el mismo pueda ser seleccionado únicamente por el propio usuario.

La vulnerabilidad permite que un cambio en el foco del campo seleccionado del formulario que es mostrado en la página web, pueda permitir a un atacante seleccionar y enviar otros archivos, sin el conocimiento de la víctima.

Para que un ataque tenga éxito, el usuario debe ser convencido a visitar un sitio web malicioso.

Ha sido publicada una prueba de concepto.

Son vulnerables todas las versiones de Internet Explorer (5.0, 5.0.1, 5.5, 6.0 y 7.0), en todos los sistemas operativos soportados, incluyendo Windows Vista. 

Se recomienda no hacer clic en enlaces de correos electrónicos no solicitados, ni enviar a la red archivos utilizando formularios de sitios no confiables.


Más información:

Internet Explorer File Focus Stealing
http://www.0x000000.com/index.php?i=437

Microsoft Internet Explorer File Upload Vulnerability
http://www.securityfocus.com/bid/25836


Relacionados:

Firefox, falsificación de foco en selección de evento
http://www.vsantivirus.com/vul-firefox-focus-306007.htm


Créditos:

Ronald van den Heetkamp








(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com

 

Copyright 1996-2007 Video Soft BBS