|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| Vulnerabilidad en archivos XML en Outlook Express | ||
|---|---|---|
VSantivirus No. 753 - Año 6 - Miércoles 31 de julio de 2002 Vulnerabilidad en archivos XML en Outlook Express http://www.vsantivirus.com/vul-xml-oe.htm Por Marcos Rico (*) marcos@videosoft.net.uy Outlook Express es, a pesar de los múltiples agujeros de seguridad que presenta muy a menudo, el cliente de correo electrónico más usado de la actualidad. Es por ello que cualquier problema que presente asociado a la seguridad, por mínimo que sea, es de interés general. Recordemos que varias plagas de gusanos en Internet han sido posibles gracias a la gran implantación de este programa universalmente conocido. Si los usuarios no lo hubieran usado (o se hubieran preocupado en buscarle el parche correspondiente), gusanos como el tristemente célebre Frethem nunca hubieran copado las listas de alertas de las compañías antivirus. Ahora acabamos de enterarnos de otra vulnerabilidad de Microsoft Outlook Express que a la fecha de escribir este artículo (30 de julio de 2002) no tiene solución. Al parecer un usuario remoto puede enviar un e-mail a la víctima que puede causar que un archivo ejecutable se instale silenciosamente en su ordenador. Una vez instalado, el archivo puede ser ejecutado. Hay un exploit en Internet que fácilmente podría encontrar cualquiera para enviar el correspondiente archivo cannot.eml de sólo 755 bytes comprimido (1797 bytes descomprimido). Está comprimido en zip con fecha de 27 de julio de 2002, por lo que algunos atacantes ya lo han podido usar maliciosamente contra sus víctimas. Este exploit se aprovecha de antiguas vulnerabilidades conocidas en el Outlook Express (en http://www.securityfocus.com/bid/1033, http://www.securityfocus.com/bid/2456 y http://www.securityfocus.com/bid/4387 tenemos los casos bien explicados). Se pueden combinar todas esas posibilidades ya conocidas con el nuevo código maligno que está disponible en algunas Webs de seguridad. Los archivos XML están asociados con el Internet Explorer y se requiere una hoja de estilo para enlazarse al archivo XML. Se conoce también que la hoja de estilo XLS puede contener HTML y código scripting y puede ser incluida en el archivo XML para evitar así las restricciones de seguridad. Este código malicioso producirá un error en el analizador XML pero ejecutará el HTML y el scripting.
|
||
