BloCkeadO
Moderator
Mensajes: 1015
Registrado: 5-11-2003
Location: Made in SPAIN
El usuario está desconectado
Humor: m_{o_o}_m
|
![[*]](./images/corporate/default_icon.gif) publicado en 3-2-2004 en 11:31 AM |
|
|
Microsoft corrige la vulnerabilidad de falsificación de URLs
03/02/2004 - Microsoft corrige la vulnerabilidad de falsificación de URLs en Internet Explorer
Microsoft publica una actualización acumulativa para Internet Explorer
en sus versiones 5.01, 5.5 y 6.0. y elimina tres nuevas
vulnerabilidades entre las que se incluyen la ya famosa de
falsificación de URLs.
Con este parche Microsoft rompe su norma de publicar las
actualizaciones el segundo martes de cada mes, lo cual indica la
gravedad que los problemas corregidos suponen para la propia
Microsoft.
El primero de los problemas corregidos es la conocida vulnerabilidad
de ocultación y falsificación de URLs, utilizada en los últimos
tiempos en varias estafas de banca online como el caso del Banco
Popular que ya denunciamos en este servicio y del cual demostramos su
importancia en varios test que evidenciaban la gravedad del problema.
La vulnerabilidad estaba relacionada con el tratamiento incorrecto de
URLs que contienen caracteres especiales. Cuando se combinaba con una
forma de autenticación básica de la forma "usuario:contraseña@" al
comienzo de la URL, un atacante podÃÂa lograr construir un enlace de
forma que al seleccionarlo el usuario visualizara una URL concreta en
la barra de direcciones de Internet Explorer, cuando en realidad se
visitaba un sitio web diferente.
Para demostrar la gravedad e implicaciones de este problema Hispasec
elaboró la siguiente página web con varios enlaces que demostraban la
vulnerabilidad:
http://www.hispasec.com/directorio/laboratorio/Software/tests/falsificaciondeurl.html
La segunda vulnerabilidad está relacionada con el modelo de seguridad
de dominios cruzados de Internet Explorer que evita que ventanas de
diferentes dominios intercambien información. Esta vulnerabilidad podÃÂa
llegar a permitir la ejecución de scripts en la zona de seguridad
local.
La última de las vulnerabilidades corregidas hace relación a la
operación de arrastrar y soltar durante eventos de dynamic HTML
(DHTML) en Internet Explorer. Esta vulnerabilidad puede permitir que
se grabe un archivo en el sistema del usuario si este llega a pulsar
en un enlace. Al usuario no se le presentará ningún cuadro de dialogo
para aprobar la descarga.
Al corregir la vulnerabilidad de falsificación de URLs esta
actualización de Internet Explorer también introduce cambios en la
funcionalidad de Autenticación Básica del navegador. El parche elimina
el soporte para tratar nombres de usuario y contraseñas en direcciones
HTTP y HTTP con Secure Sockets Layer (SSL) o HTTPS. Esto quiere decir
que no se soporta la siguiente sintaxis:
http(s)://nombre_de_usuario:contraseña@servidor
Sobre este asunto Microsoft ha publicado un artÃÂculo en su base de
conocimientos y como solventar los problemas que este cambio de
comportamiento pueda ocasionar a desarrolladores de aplicaciones y
sitios web.
http://support.microsoft.com/default.aspx?scid=kb;[LN];834489
 |
|
|
|
