Microsoft conocía el fallo de Internet Explorer desde hace cinco meses - xombra.com



Sin ser el segundo martes de mes, Microsoft acaba de publicar un boletín de seguridad (con identificador MS10-002). Debido a su gravedad, los fallos podrían ser aprovechados por un atacante remoto para ejecutar código arbitrario y comprometer por completo un sistema vulnerable.

La actualización para Internet Explorer, acumulativa como suele ser habitual en las actualizaciones del navegador, está destinada a cubrir un total de ocho vulnerabilidades, si bien no todas son de carácter crítico ni afectan a todas las versiones del navegador. La gravedad de las vulnerabilidades varía en función de la versión del navegador y plataforma Windows sobre la que corre.

La razón de la publicación del boletín fuera de ciclo es debido a la vulnerabilidad del navegador, de la que ya hablamos en un boletín anterior y que estaba siendo explotada de forma activa. Este fallo ya conocido como "Aurora" (asignado al CVE-2010-0249), junto con otras cinco vulnerabilidades, son de naturaleza similar y en muchos casos pueden permitir la ejecución remota de código.

Pero lo más polémico puede surgir tras el reconocimiento por la propia firma de Redmond de que conocía de la existencia del fallo empleado en los ataques contra Google y Adobe (entre otras) desde el pasado mes de agosto. Meron Sellen, un investigador de la firma israelí BugSec había reportado el fallo el pasado mes de agosto y la propia Microsoft confirmó su gravedad en septiembre. Otros fallos similares corregidos en esta actualización también habían sido reportados a Microsoft hace seis meses por Zero Day Initiative. Microsoft tenía planeada la distribución de este boletín para su ciclo habitual de actualizaciones de febrero, sin embargo los ataques han obligado a adelantar su publicación.

Las otras dos vulnerabilidades corregidas son un cross-site scripting y una vulnerabilidad de validación de URLs que también podría dar lugar a la ejecución remota de código a través de una URL maliciosamente construida.

Más Información:

Microsoft Security Bulletin MS10-002 - Critical
Cumulative Security Update for Internet Explorer (978207)
http://www.microsoft.com/technet/security/Bulletin/ms10-002.mspx

Microsoft knew of IE zero-day flaw since last September
http://blogs.zdnet.com/security/?p=5324

Fuente:

Por Antonio Ropero
http://www.hispasec.com


Guardar publicación en PDF

Otras noticias de interes:

 Desarrollan una herramienta para detectar el ciberacoso en la Red
El Ciber Guardián es capaz de comportarse como una persona que navega por internet y que cuando encuentra información la almacena en una base de datos y la hace disponible para un análisis posterior
 Las 20 vulnerabilidades de Internet
The SANS Institute (System Administration, Networking, and Security Institute) y el FBI, han venido publicando una extensa lista con las veinte vulnerabilidades más explotadas en la mayoría de los ataques a sistemas computacionales vía Internet.
 La geolocalización ¿Atenta contra la vida privada?
Los gigantes de internet Google y Facebook, que optaron por la geolocalización como pilar de su desarrollo, se aventuran más allá de los límites de la vida privada de los internautas, advirten alarmados los expertos y las Organizaciones No Gubernamentales (ONG).
 Estándar HTML5 será aprobado en 2014
De acuerdo con los planes del W3C (World Wide Web Consortium), la versión final de HTML5 estará completada en 2014. HTML5 es la actualización de HyperTexst Markup Language, el estándar utilizado a nivel mundial para interpretar páginas web.
 Microsoft Internet Explorer "Window()" Remote Code Execution Exploit (0day)
Exploit del tipo día cero (0day), para una vulnerabilidad crítica en Microsoft Internet Explorer, la cuál permite que atacantes remotos puedan ejecutar código de forma arbitraria.

Redes sociales

Agregame a tus círculos

Sigueme en Twitter

Agregame a tu lector de RSS



Categorías




blog roll


Nube de tags

  • micros

  • conocía

  • fallo

  • internet

  • explorer

  • hace

  • cinco

  • meses

  • xombra

  • ubuntu

  • linux

  • fedora

  • blog

  • web

  • gentoo

  • debian

  • mint

  • gnu

  • sabayon

  • libre

  • fice

  • thunderbird

  • firefox

  • mozilla

  • vaslibre

  • tware

  • opensource

  • sl

  • centos

  • chrome

  • bug

  • noticia

  • tecnologia

  • computer

  • system

  • php

  • mysql