• Tweet

Varias versiones de Internet Explorer, incluyendo IE7 para Windows XP SP2 y el navegador integrado en Windows Vista son vulnerables a exploits que tienen como objetivo un falla de día cero. Microsoft ha confirmado la existencia de la vulnerabilidad de Negación de Servicio en la Propiedad bgColor de ActiveX en Internet Explorer.

“Hemos confirmado que el problema puede ser utilizado para causar que la instancia de Internet Explorer se detenga cuando se visualice una página Web creada de forma maliciosa. Hemos confirmado que no existe la posibilidad de utilizar un bug para hacer nada más que éste problema de colisión, como por ejemplo, ejecutar código”.

De acuerdo a Determina, además de Internet Explorer 7 en Windows XP y Windows Vista, las versiones anteriores 5 y 6 del navegador también son afectadas. “Determina Security Research ha descubierto un vulnerabilidad de negación de Servicio en múltiples controles ActiveX incluidos en Internet Explorer. Esta vulnerabilidad puede ser explotada por una página Web maliciosa y resulta en la terminación del proceso de Internet Explorer. Nuestro análisis indica que la ejecución remota de código es poco probable. Los controles ActiveX vulnerables son instalados de forma predeterminada con todas las versiones de Internet Explorer en Windows 2000, XP, 2003 y Vista”, de acuerdo con Determina.

Determina ha hecho disponible una prueba de concepto, un archivo HTML que explota la vulnerabilidad. Adicionalmente, Determina ha advertido a los usuarios de IE 5 y 6 que están más expuestos a la vulnerabilidad que aquellas versiones específicas del navegador que explotan la falla no requieren la interacción del usuario.

La vulnerabilidad ha sido identificada con la ayuda de un fuzzer (una programa inyector de fallas) diseñado para instanciar y enumerar las propiedades de los controles ActiveX en los sistemas.