Llegamos a ustedes gracias a:



Noticias

Publican el código de ataque día cero para Explorer

[28/12/2010] Investigadores de seguridad han anunciado el código que saca partido de un error no parcheado de Internet Explorer y que elude las defensas de Windows 7. Microsoft investiga el error, del que no le constan incidentes.

Microsoft ya ha declarado que se encuentra investigando estas denuncias públicas de una nueva vulnerabilidad en Internet Explorer, en palabras de Dave Forstrom, director del grupo Trustworthy Computing de Microsoft, quien también asegura que la compañía no tiene conocimiento de ningún ataque que utilice la mencionada vulnerabilidad.
Los primeros en dar a conocer esta falla fueron los investigadores de la firma francesa Vupen, quienes descubrieron una falla en la ingeniería HTML de Explorer que podía ser aprovechado cuando el navegador procesa archivos CSS (Cascading Style Sheets) que incluyesen reglas @import, que permite a los diseñadores web añadir hojas de estilo externas en un documento HTML.
El 9 de diciembre, Vupen confirma la vulnerabilidad en Explorer 8 en máquinas Windows XP, Vista y Windows 7, así como en Explorer 6 y 7 en XP. Vupen fue capaz de sacar partido de este error, pero solo publicó el código para sus clientes y para fines de testeo.
Abysssec Security Research también ha publicado un video de una demostración de cómo se comporta un ataque.
Es uno de los primeros errores que también se pueden ejecutar en Internet Explorer 8 en Windows 7, capaz de anular las defensas DEP (data execution prevention) y ASLR (address space layout randomization).
Gregg Keizer, Computerworld (US)