Bugs y Exploits

La empresa especializada en alertas de seguridad Secunia, ha publicado una inquietante nota en su página acerca de un fallo de seguridad que afectaría a los navegadores más importantes y populares (Internet Explorer, Opera, Mozilla, Konqueror...). La vulnerabilidad permite la falsificación de páginas web.

10-12-2004 - Secunia asegura haber descubierto una nueva forma de falsificar el contenido web, mediante la inyección de código entre páginas, que puede derivar en el intento de engaño a usuarios a través de técnicas de phishing. Con un poco de imaginación, un atacante podría llegar a confundir a las víctimas, haciendo saltar ventanas emergentes falsas al visitar páginas oficiales de bancos, por ejemplo. En ellas se podría pedir al usuario que introdujera su contraseña (que iría a parar al atacante).

No es la primera vez que se da a conocer una vulnerabilidad que permite este tipo de inyección de código. Lo novedoso en este caso es que el fallo afecta a prácticamente todos los navegadores conocidos y populares, y además, ninguno ha publicado aún un parche que elimine el problema de seguridad aunque Secunia asegura haber comunicado el error a las compañías de navegadores el pasado 19 de noviembre.

Aunque no se han publicado detalles técnicos sobre cómo aprovecharse de la vulnerabilidad, parece ser que el usuario debe visitar previamente la página del atacante para que éste pueda ?secuestrar? la página oficial. Es posible confirmar el fallo visitando la página de Secunia, que ha puesto a disposición de todos una prueba de concepto.

Por otro lado http-equiv, apodo de un conocido descubridor de vulnerabilidades en navegadores y especializado en Internet Explorer, ha hecho público paralelamente una forma de engañar al usuario de este navegador, consiguiendo que una página falsa parezca completamente legítima tanto en contenido como en dirección y dominio. Este fallo sólo afecta al navegador de Microsoft y puede ser explotado con la simple visita de un enlace.

Más información y referencias:

Multiple Browsers Window Injection Vulnerability
http://secunia.com/multiple_browsers_window_injection_vulnerability_test

Sergio de los Santos
http://www.forzis.com