IFRAME SRC=https:-----------------------------------------------

En la prueba de concepto anterior, se utilizaban las etiquetas "A HREF=", en lugar de "IFRAME SRC=".

Según Ferris, Mozilla está actualmente trabajando en el problema.

La nueva variante de esta vulnerabilidad, no afecta a Firefox 1.0.6 y anteriores.

De todos modos, preocupa el hecho de que muy pronto aparezcan códigos maliciosos capaces de explotar estas debilidades. Las pruebas de concepto publicadas, solo pueden ocasionar una denegación de servicio (que el navegador afectado deje de responder), pero exploits más elaborados, podrían directamente ejecutar código malicioso, lo que sería fácilmente utilizado para la propagación de virus o gusanos.

El problema, que también afecta a Netscape, tiene que ver con la forma en que estos navegadores manejan los nombres de dominio internacionales, norma conocida como IDN por las siglas en inglés de "International Domain Name", que permite la utilización de caracteres ASCII como la "eñe" por ejemplo, en los nombres de dominios. Internet Explorer no es afectado, ya que no utiliza este estándar.

Los expertos, dando por hecho que puede ser cuestión de horas la aparición de códigos maliciosos que se aprovechen de esta vulnerabilidad, temen que los usuarios que utilizan Firefox o Mozilla, llevados por la falsa sensación de seguridad creada alrededor de estos navegadores, descuiden la implementación de los parches provisorios que se han publicado, o incluso no se actualicen de inmediato cuando Mozilla libere las nuevas versiones con este problema solucionado (Firefox 1.0.7 y Mozilla 1.7.12, en etapa de pruebas al momento de publicarse este artículo).

Lo importante, es que los usuarios entiendan que no existe navegador (o programa informático alguno), que sea totalmente seguro, dijeron los expertos.


Relacionados:

Mozilla Firefox 1.5 Beta 1 IDN Buffer Overflow
http://security-protocols.com/modules.php?name=News&file=article&sid=2920

Vulnerabilidad crítica en Netscape, Mozilla y Firefox
http://www.vsantivirus.com/vul-idn-090905.htm

Firefox 1.0.7 resuelve vulnerabilidades críticas
http://www.vsantivirus.com/firefox-107.htm

Mozilla 1.7.12 resuelve vulnerabilidades críticas
http://www.vsantivirus.com/mozilla-1712.htm

Usuarios de Firefox, Mozilla y Netscape en peligro
http://www.vsantivirus.com/vul-exploit-idn-220905.htm

What Firefox and Mozilla users should know
about the IDN buffer overflow security issue
https://addons.mozilla.org/messages/307259.html

Mozilla Firefox "Host:" Buffer Overflow
http://security-protocols.com/advisory/sp-x17-advisory.txt




NOTA Redacción VSAntivirus [18/09/05]: Luego de la aparición de este aviso, se han publicado diversos comentarios sobre la validez de lo afirmado por Ferris, respecto a que su prueba de concepto, que afecta al Firefox 1.5 Beta 1, esté relacionada con la vulnerabilidad IDN Buffer Overflow o no. Lo cierto es que esta prueba provoca una denegación de servicio, y que más allá de su mayor o menor riesgo, es importante mantenerse atentos para actualizar el programa cuando Mozilla libere las versiones con estos problemas solucionados.


[Actualizado 23/09/05 03:02 -0300]




(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com