Bugs y Exploits

Se ha dado a conocer en todas las listas públicas sobre seguridad, una nueva vulnerabilidad que afecta a Internet Explorer, y posiblemente otros navegadores no determinados todavía. El problema consiste en que se puede hacer creer al usuario que se dirige a una dirección web que no es la real, y engañarlo con una página que simule ser la que la víctima esperaba.

14-12-2003 - Zap The Dingbat hacía público hace sólo unos días en las principales listas públicas de seguridad su descubrimiento. Añadiendo un simple carácter a la URL podíamos hacerla cambiar por completo, no sólo en apariencia, sino también en la barra en la que se muestra hacia dónde nos dirige el enlace que vamos a pulsar.

Cuando en los navegadores dejamos el ratón sobre un enlace, normalmente en la esquina inferior izquierda del programa (barra de estado) o algún otro espacio del navegador, nos mostrará hacia dónde apunta efectivamente el enlace. Esto frustra muchos ataques en los que la avispada víctima advierte que, donde pretende pulsar, no es donde va a ir realmente. Este nuevo problema elimina esta posibilidad, y muestra la dirección falsa también en la barra de estado.

Si el fallo se utiliza para redirigir a los incautos hacia enlaces especialmente manipulados aprovechando otras vulnerabiladades anteriores de Internet Explorer, que permiten la descarga y ejecución de programas, se puede engañar a miles de usuarios y conseguir que instalen inadvertidamente código en su máquina, sin que puedan darse cuenta a simple vista. También puede ser usado para redirigir a las víctimas hacia webs que simulan ser la puerta de entrada a otros servicios, robando así sus claves para estas páginas.

Portavoces de Microsoft se han apresurado a declarar que están estudiando el problema, pues aún no se han delimitado las versiones que se ven afectadas o cómo podría afectar una solución a otros parches anteriores instalados. También advierte al descubridor que publicar todos los detalles del problema sin ponerse previamente en contacto con la compañía, pone en grave riesgo a los usuarios, que se ven indefensos hasta que se disponga de un parche eficaz.

Más información y referencias:

Microsoft probes IE flaw that allows spoofing of Web sites
http://www.computerworld.com/securitytopics/security/holes/story/0,10801,88108,00.html

Sergio de los Santos
http://www.forzis.com