Internet Explorer + Google Chrome = security problem

abril 30, 2009 § Deja un comentario

Nuevamente han surgido problemas de seguridad alrededor del manejo de protocolo y navegadores Web esta vez con Google Chrome y con Internet Explorer de Microsoft.

Según un boletin de advertencia del equipo de Google Chrome, hay un error en el manejo de URLs con el protocolo chromehtml: que podría permitir a un atacante ejecutar scripts de su elección en cualquier página o listar los archivos del disco local bajo ciertas condiciones.

[ Vea: Hallan falla de inyección de comantos en IE: O ¿es en Firefox? ]

La falla:

  • Si un usuario tiene instalado Google Chrome, visita una página web, controlada por un atacante, con Internet Explorer, podría causar el inicio de Google Chrome, abrir varias solapas, cargar scripts que corran depués de navegar a una URL que elija el atacante.

La vulnerabilidad de “alta severidad” afecta a Google Chrome versiones 1.0.154.55 y anteriores.

Puede ser explotada por hackers maliciosos para lanzar un ataque UXSS (XSS universal) sin la interacción del usuario bajo ciertas condiciones.

[ Vea: Sorpenden a Mozilla dormido con falla de manejo de protocolo de URL ]

El investigador de IBM Roi Saltzman, al quien se atribuye el hallazgo ye inform de la falla a Google, ha publicado un boletin (word .doc) para explicar los vectores de ataque y el impacto.

Advierte que la falla abre una puerta a dos vectores de ataque principales:

  • Sortear las restricciones de Política de el Mismo Origen para cualquier sitio (esto tiene el mismo impacto que el XSS Universal)
  • Enumerar los archivos y directorios locales de la víctima

“Es importante notar que la forma en que Internet Explorer procesa los manejadores de protocolo URL es un conocido talón de Aquiles y ha sido ampliamente usado en ataque anteriores a otras aplicaciones varias,” dijo Saltzman. El código de prueba de concepto de esta falla está disponible públicamente.

Microsoft sostiene que los problemas no están relacionados con vulnerabilidades en su código.

Traducción exclusiva de Segu-info: Raúl Batista
Autor: Ryan Naraine
Fuente: Blogs ZDNet

Internet Explorer + Google Chrome = security problem

abril 30, 2009 § Deja un comentario

Nuevamente han surgido problemas de seguridad alrededor del manejo de protocolo y navegadores Web esta vez con Google Chrome y con Internet Explorer de Microsoft.

Según un boletin de advertencia del equipo de Google Chrome, hay un error en el manejo de URLs con el protocolo chromehtml: que podría permitir a un atacante ejecutar scripts de su elección en cualquier página o listar los archivos del disco local bajo ciertas condiciones.

[ Vea: Hallan falla de inyección de comantos en IE: O ¿es en Firefox? ]

La falla:

  • Si un usuario tiene instalado Google Chrome, visita una página web, controlada por un atacante, con Internet Explorer, podría causar el inicio de Google Chrome, abrir varias solapas, cargar scripts que corran depués de navegar a una URL que elija el atacante.

La vulnerabilidad de “alta severidad” afecta a Google Chrome versiones 1.0.154.55 y anteriores.

Puede ser explotada por hackers maliciosos para lanzar un ataque UXSS (XSS universal) sin la interacción del usuario bajo ciertas condiciones.

[ Vea: Sorpenden a Mozilla dormido con falla de manejo de protocolo de URL ]

El investigador de IBM Roi Saltzman, al quien se atribuye el hallazgo ye inform de la falla a Google, ha publicado un boletin (word .doc) para explicar los vectores de ataque y el impacto.

Advierte que la falla abre una puerta a dos vectores de ataque principales:

  • Sortear las restricciones de Política de el Mismo Origen para cualquier sitio (esto tiene el mismo impacto que el XSS Universal)
  • Enumerar los archivos y directorios locales de la víctima

“Es importante notar que la forma en que Internet Explorer procesa los manejadores de protocolo URL es un conocido talón de Aquiles y ha sido ampliamente usado en ataque anteriores a otras aplicaciones varias,” dijo Saltzman. El código de prueba de concepto de esta falla está disponible públicamente.

Microsoft sostiene que los problemas no están relacionados con vulnerabilidades en su código.

Traducción exclusiva de Segu-info: Raúl Batista
Autor: Ryan Naraine
Fuente: Blogs ZDNet

Phishing y malware a Unilever y CompraFacil

abril 30, 2009 § Deja un comentario

Hemos recibido varios reportes de casos de phishing a distintas empresas en donde se ofrecen la descarga de distintos archivos, que en realidad corresponde a un troyano del tipo downloader, que descarga otras amenazas al sistema.

El primer caso que recibimos se trata de la multinacional Unilever de Brasil, ofreciendo un supuesto comprobante:
El segundo caso corresponde a COMPRAFacil también de Brasil, en donde se ofrece la visualización de un supuesto pedido:
El tercer caso corresponde a la empresa Glamour de Brasil, el cual también propaga el mismo malware.

Al parecer los dominios donde están alojados estos archivos han sido vulnerados para este objetivo.

Cristian de la Redacción de Segu-Info

Phishing y malware a Unilever y CompraFacil

abril 30, 2009 § 4 comentarios

Hemos recibido varios reportes de casos de phishing a distintas empresas en donde se ofrecen la descarga de distintos archivos, que en realidad corresponde a un troyano del tipo downloader, que descarga otras amenazas al sistema.

El primer caso que recibimos se trata de la multinacional Unilever de Brasil, ofreciendo un supuesto comprobante:
El segundo caso corresponde a COMPRAFacil también de Brasil, en donde se ofrece la visualización de un supuesto pedido:
El tercer caso corresponde a la empresa Glamour de Brasil, el cual también propaga el mismo malware.

Al parecer los dominios donde están alojados estos archivos han sido vulnerados para este objetivo.

Cristian de la Redacción de Segu-Info

Phishing y malware a Unilever y CompraFacil

abril 30, 2009 § Deja un comentario

Hemos recibido varios reportes de casos de phishing a distintas empresas en donde se ofrecen la descarga de distintos archivos, que en realidad corresponde a un troyano del tipo downloader, que descarga otras amenazas al sistema.

El primer caso que recibimos se trata de la multinacional Unilever de Brasil, ofreciendo un supuesto comprobante:
El segundo caso corresponde a COMPRAFacil también de Brasil, en donde se ofrece la visualización de un supuesto pedido:
El tercer caso corresponde a la empresa Glamour de Brasil, el cual también propaga el mismo malware.

Al parecer los dominios donde están alojados estos archivos han sido vulnerados para este objetivo.

Cristian de la Redacción de Segu-Info

Phishing y malware a Unilever y CompraFacil

abril 30, 2009 § 2 comentarios

Hemos recibido varios reportes de casos de phishing a distintas empresas en donde se ofrecen la descarga de distintos archivos, que en realidad corresponde a un troyano del tipo downloader, que descarga otras amenazas al sistema.

El primer caso que recibimos se trata de la multinacional Unilever de Brasil, ofreciendo un supuesto comprobante:
El segundo caso corresponde a COMPRAFacil también de Brasil, en donde se ofrece la visualización de un supuesto pedido:
El tercer caso corresponde a la empresa Glamour de Brasil, el cual también propaga el mismo malware.

Al parecer los dominios donde están alojados estos archivos han sido vulnerados para este objetivo.

Cristian de la Redacción de Segu-Info

Internet Explorer + Google Chrome = security problem

abril 30, 2009 § Deja un comentario

Nuevamente han surgido problemas de seguridad alrededor del manejo de protocolo y navegadores Web esta vez con Google Chrome y con Internet Explorer de Microsoft.

Según un boletin de advertencia del equipo de Google Chrome, hay un error en el manejo de URLs con el protocolo chromehtml: que podría permitir a un atacante ejecutar scripts de su elección en cualquier página o listar los archivos del disco local bajo ciertas condiciones.

[ Vea: Hallan falla de inyección de comantos en IE: O ¿es en Firefox? ]

La falla:

  • Si un usuario tiene instalado Google Chrome, visita una página web, controlada por un atacante, con Internet Explorer, podría causar el inicio de Google Chrome, abrir varias solapas, cargar scripts que corran depués de navegar a una URL que elija el atacante.

La vulnerabilidad de “alta severidad” afecta a Google Chrome versiones 1.0.154.55 y anteriores.

Puede ser explotada por hackers maliciosos para lanzar un ataque UXSS (XSS universal) sin la interacción del usuario bajo ciertas condiciones.

[ Vea: Sorpenden a Mozilla dormido con falla de manejo de protocolo de URL ]

El investigador de IBM Roi Saltzman, al quien se atribuye el hallazgo ye inform de la falla a Google, ha publicado un boletin (word .doc) para explicar los vectores de ataque y el impacto.

Advierte que la falla abre una puerta a dos vectores de ataque principales:

  • Sortear las restricciones de Política de el Mismo Origen para cualquier sitio (esto tiene el mismo impacto que el XSS Universal)
  • Enumerar los archivos y directorios locales de la víctima

“Es importante notar que la forma en que Internet Explorer procesa los manejadores de protocolo URL es un conocido talón de Aquiles y ha sido ampliamente usado en ataque anteriores a otras aplicaciones varias,” dijo Saltzman. El código de prueba de concepto de esta falla está disponible públicamente.

Microsoft sostiene que los problemas no están relacionados con vulnerabilidades en su código.

Traducción exclusiva de Segu-info: Raúl Batista
Autor: Ryan Naraine
Fuente: Blogs ZDNet

¿Dónde estoy?

Actualmente estás viendo los archivos para abril, 2009 en Seguridad Informática.