El navegador de Microsoft, Internet Explorer, se ha visto afectado
por un error grave que permite a las páginas detectar lo que el usuario está
escribiendo en su barra de direcciones URL. Filtra, por tanto, este contenido.
Bug
en Internet Explorer
Esto incluye nuevas URL a las que el
usuario puede estar navegando. Pero también términos de búsqueda que Internet
Explorer maneja automáticamente mediante una búsqueda con Bing. Los usuarios
que copian y pegan URL para páginas de Intranet dentro de Internet Explorer,
probablemente verán este error como un gran problema.
El error, detectado por el
investigador de seguridad Manuel Caballero, plantea un riesgo de privacidad.
Esto es así ya que podría ser utilizado en operaciones de reconocimiento en
ataques específicos. Pero también para la recolección de datos por los
anunciantes en línea.
Este error ocurre cuando el navegador
Internet Explorer carga una página con una etiqueta de objeto HTML maliciosa y
también cuando presenta la metaetiqueta de compatibilidad en su código fuente.
Ambas condiciones son muy fáciles de cumplir.
Condiciones
Condición uno: los atacantes pueden
ocultar etiquetas de objeto HTML maliciosas en sitios infectados o cargarlo a
través de anuncios que permiten a los anunciantes cargar código personalizado
HTML y / o JavaScript.
Condición dos: X-UA-Compatible es una
meta etiqueta de modo de documento que permite a los autores de la web elegir
la versión de Internet Explorer en la que se debe mostrar la página. Casi todos
los sitios en Internet tienen una metaetiqueta de compatibilidad.
Según Caballero, cuando el código
JavaScript se ejecuta en la etiqueta HTML del objeto malintencionado, “el
objeto de ubicación se confunde y devuelve la ubicación principal en lugar de
la suya propia”.
En términos sencillos, esto significa
que la etiqueta HTML de objeto malintencionado, que se puede cargar y ocultar
dentro de una página, tendrá acceso a los recursos e información disponibles
anteriormente en la ventana principal del navegador.
Detalle
de la vulnerabildad
En una descripción técnica del error,
Caballero ha dicho que el objeto malintencionado puede “recuperar la
ubicacion.href del objeto mientras el usuario está saliendo de la página
principal”, lo que permite a un atacante “saber qué escribió (el usuario) en el
Barra de dirección.”
Anteriormente, Caballero también
descubrió un error en Internet Explorer que permite que el código JavaScript
malicioso persista y siga funcionando en el fondo del navegador incluso si el
usuario ha cerrado la pestaña de la página malintencionada. Este error puede ser
abusado por las campañas malvertising para entregar a los mineros de
criptomonedas que utilizan los recursos computacionales de un usuario para
minar Monero mucho después de que el usuario haya visitado un sitio malicioso,
haciendo que el ordenador del usuario se ralentice y un desgaste prematuro del
procesador del usuario.
Fuente: Bleeping Computer