10 de abril de 2011

VULNERABILIDAD “0-day” EN INTERNET EXPLORER 9

Vupen, empresa de seguridad, ha descubierto vulnerabilidades en Internet Explorer 9, y versiones anteriores, que permiten saltarse las medidas de seguridad del navegador y de Windows 7.

Recursos afectados:

Internet Explorer 9, Internet Explorer 8, Internet Explorer 7 y Internet Explorer 6

Detalles técnicos:

El exploit se aprovecha de un 0-day en IE9 para saltarse todas las medidas de seguridad adicionales presentes en Windows 7, incluida la última versión del sistema operativo de Microsoft (SP1).

Este exploit elude las medidas de seguridad de Windows tales como ASLR , DEP y el sandbox de IE9 aprovechándose de dos vulnerabilidades distintas:

  1. la primera de ellas permite la ejecución de código arbitrario dentro de la sandbox de IE9,
  2. la segunda permite eludir este mecanismo de seguridad para lograr la ejecución completa de código.

Según Bekra, la vulnerabilidad no se limita a la última versión del navegador de Microsoft, sino que también está presente en Internet Explorer 8, 7 y 6 debido a una vulnerabilidad de tipo "use-after-free" en mshtml.dll cuando se procesa una combinación especifica de HTML y Javascript.

Recomendaciones :

Vupen aconseja a todos los usuarios de IE desactivar JavaScript o bien utilizar otro navegador que no se vea afectado por esta vulnerabilidad.
Para más información visitar el sitio:

http://www.infoworld.com/d/security/ie9-exploit-puts-windows-7-sp1-risk-038

Fuente: Cert Inteco