Nuevamente han surgido problemas de seguridad alrededor del manejo de protocolo y navegadores Web esta vez con Google Chrome y con Internet Explorer de Microsoft.
Según un boletin de advertencia del equipo de Google Chrome, hay un error en el manejo de URLs con el protocolo chromehtml: que podría permitir a un atacante ejecutar scripts de su elección en cualquier página o listar los archivos del disco local bajo ciertas condiciones.
[ Vea: Hallan falla de inyección de comantos en IE: O ¿es en Firefox? ] La falla: La vulnerabilidad de “alta severidad” afecta a Google Chrome versiones 1.0.154.55 y anteriores. Puede ser explotada por hackers maliciosos para lanzar un ataque UXSS (XSS universal) sin la interacción del usuario bajo ciertas condiciones. [ Vea: Sorpenden a Mozilla dormido con falla de manejo de protocolo de URL ] El investigador de IBM Roi Saltzman, al quien se atribuye el hallazgo ye inform de la falla a Google, ha publicado un boletin (word .doc) para explicar los vectores de ataque y el impacto. Advierte que la falla abre una puerta a dos vectores de ataque principales: “Es importante notar que la forma en que Internet Explorer procesa los manejadores de protocolo URL es un conocido talón de Aquiles y ha sido ampliamente usado en ataque anteriores a otras aplicaciones varias,” dijo Saltzman. El código de prueba de concepto de esta falla está disponible públicamente. Microsoft sostiene que los problemas no están relacionados con vulnerabilidades en su código. Traducción exclusiva de Segu-info: Raúl Batista
Autor: Ryan Naraine
Fuente: Blogs ZDNet
Read more here:
Internet Explorer + Google Chrome = security problem |