IE permite Universal Cross Domain Scripting

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 734 - Año 6 - Jueves 11 de julio de 2002

IE permite Universal Cross Domain Scripting
http://www.vsantivirus.com/vul-ie-cross-domain.htm

Aviso de seguridad: IE permite Universal Cross Domain Scripting
Nombre original: IE allows universal Cross Domain Scripting
Fecha original: 25/jun/02, 10/jul/02
Autor/descubridor: Thor Larholm <thor@pivx.com>
Aplicación vulnerable: Microsoft Internet Explorer, Outlook, Outlook Express
Severidad: Alta
Riesgo: Ejecución arbitraria de comandos, elevación de privilegios, lectura de documentos locales, robo de cookies, etc.
Fabricante: Microsoft (avisado el 25 de junio).
Referencia: PivX security advisory TL#003 http://www.pivx.com/larholm/adv/TL003/

Esta vulnerabilidad, considerada como muy grave, ha sido revelada sin tener aún solución por parte de Microsoft.

Se basa en el elemento OBJECT, permitido en HTML 4, y que es usado para incluir objetos externos dentro de una página Web.

Estos objetos pueden ser cualquier control ActiveX como WebBrowser, además de imágenes, applets y otros.

Los controles WebBrowser (controlan diversas acciones en el navegador), incluidos en esta etiqueta pueden eludir las restricciones de seguridad ordinarias aplicadas para otros elementos del código HTML. Esto hace posible escapar las restricciones de seguridad en los servidores, y en las computadoras de los usuarios eludir las zonas de seguridad.

Esto literalmente significa que se puede ejecutar código malicioso al visitar una página Web o al recibir un mensaje electrónico con formato HTML, tal como si fuera ejecutado en forma local, sin advertencia alguna del Internet Explorer.

También es posible descargar o ejecutar código de diferentes sitios de Internet.

También permite a un atacante robar y aprovecharse de cookies de terceros para acceder a sitios como si se tratara del usuario infectado.

Una demostración del exploit disponible en el sitio de PivX, permite leer un cookie desde Passport.com (el sitio de autenticación para diversos servicios de Microsoft, como Hotmail):

<object id="data" data="empty.html"
type="text/html">
</object>
<script>
var ref=document.getElementById("data").object;
ref.location.href = "http://www.passport.com";
setTimeout("alert(ref.cookie)",5000);
</script>

Como el elemento OBJECT no es privativo solo de documentos HTML, las posibilidades de explotar esta vulnerabilidad en otros ambientes es muy extensa.

La falla ha sido comprobada en Internet Explorer 5.x y 6.0 y en utilidades que lo utilizan para su funcionamiento como Outlook, y Outlook Express 5.x y 6.0, bajo Windows 2000, 98 y NT 4 con todos los parches y actualizaciones al día. Windows Me y XP también son vulnerables, aunque no se han testeado todas las posibilidades.

Las demostraciones disponibles permiten la lectura de cookies locales y remotos, lectura y ejecución de archivos locales y remotos, lo que involucra la ejecución arbitraria de comandos.

Solución

La solución momentánea para los usuarios es deshabilitar la configuración de controles ActiveX considerados seguros.

Para ello desde 'Opciones de Internet', seleccione 'Seguridad', 'Internet', 'Personalizar nivel'.

Luego, en 'Controles y complementos de ActiveX', marque 'Desactivar' o 'Pedir Datos' en la opción 'Activar la secuencia de comandos de los controles de ActiveX marcados como seguros'.

Otra solución es la instalación de una utilidad como Proxomitron.

Para instalar y configurar Proxomitron, así como para obtener más información sobre esta utilidad, siga este enlace:

VSantivirus No. 646 - 14/abr/02
Proxomitron. Una protección imprescindible para navegar
http://www.vsantivirus.com/proxomitron.htm

Referencias:

Thor Larholm, PivX security advisory TL#003
Topic: IE allows universal Cross Domain Scripting.
http://www.pivx.com/larholm/adv/TL003/

Security Company-PivX, Adds World Class Security Researcher and Announces Major New Vulnerability in Internet Explorer™.
http://www.pivx.com/press_releases/partnership_TL003.html

About Cross-Frame Scripting and Security
http://msdn.microsoft.com/workshop/author/om/xframe_scripting_security.asp

OBJECT element
http://msdn.microsoft.com/workshop/author/dhtml/reference/objects/object.asp

object property
http://msdn.microsoft.com/workshop/author/dhtml/reference/properties/object.asp

Unpatched Internet Explorer Vulnerabilities
http://pivx.com/larholm/unpatched/

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com