|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| Grave falla en Internet Explorer por la etiqueta iFrame | ||
|---|---|---|
VSantivirus No. 832 - Año 6 - Jueves 17 de octubre de 2002 Grave falla en Internet Explorer por la etiqueta iFrame http://www.vsantivirus.com/vul-iframe.htm Noticia publicada originalmente en VirusAttack! (*) Otro agujero de seguridad en Internet Explorer por la etiqueta iFrame http://virusattack.virusattack.com.ar/noticias/VerNoticia.php3?idnotas=258 La consultora israelí Greymagic descubrió hoy una vulnerabilidad en el navegador de Microsoft, a través de la cual es posible realizar diversas acciones en equipos vulnerables, desde la lectura de cookies hasta la ejecución de programas. Las páginas de Internet basadas en código HTML pueden contener ciertas etiquetas llamadas iframe o frame, que permiten la inclusión de páginas dentro de otras páginas, ya sean del mismo dominio o protocolo, o no. Utilizando cualquier lenguaje de scripting, como JavaScript o VBScript, existen diversas maneras de acceder a un iframe, todas ellas haciendo uso de la propiedad document, que permite acceder al contenido de la etiqueta, es decir, a la página que contiene. Dentro de lo que se conoce, Internet Explorer no tiene problemas de seguridad con estos métodos conocidos, restringe cualquier tipo de brecha que pueda intentar abrirse a través de una etiqueta iframe. Pero, lo que la consultora Greymagic descubrió es que, si se hace referencia a dicha propiedad, utilizando una D mayúscula, se crea un agujero de seguridad que puede utilizarse para todo tipo de acciones en los equipos que accedan a una página especialmente preparada para aprovechar la vulnerabilidad. Por ejemplo, supongamos que una página contiene un iframe llamado marco, el cual carga el conocido buscador Google en su interior, es posible acceder a la cookie de dicho sitio almacenada en el equipo del usuario, haciendo referencia a la siguiente propiedad:
Específicamente, el agujero de seguridad se encuentra en el componente WebBrowser, incluido con Internet Explorer, el cual es utilizado para manejar las etiquetas iframe y frame. No sólo el navegador de Microsoft es vulnerable, sino todo aquel programa que utilice dicho control, como por ejemplo, el Outlook Express.
Existen sólo dos soluciones para corregir este problema, hasta que Microsoft libere un parche específico para ello: actualizar su sistema al Internet Explorer 6.0 SP1 si su actual versión es vulnerable, o deshabilitar la ejecución de scripts desde las opciones de seguridad del navegador. |
||
