• Tweet

La semana pasada, Microsoft comentó que actualizará Windows para reducir el riesgo de una nueva vulnerabilidad basada en Web, pero de acuerdo con los investigadores, existen otros sistemas operativos que podrían estar en riesgo.

De hecho, Nathan McFeters, uno de los investigadores que han estado estudiando el problema comentó que espera publicar más detalles de otros sistemas operativos basados en Unix como Linux y Mac OS X que pueden ser susceptibles a lo que se conoce como una falla en el manejador del protocolo URI en la conferencia de hacking Toorcon, la cual se celebrará la siguiente semana en San Diego (USA).

En una entrevista, McFeters comentó que no ha encontrado una forma de ejecutar código no autorizado en sistemas Unix, sin embargo, comentó que tanto él como su colegas, han descubierto una serie de cosas que parecen ser motivo para hacer una investigación adicional.

El problema en el que tanto McFeters como sus colegas han venido trabajando en los últimos meses tiene que ver con la tecnología de administración del protocolo URI (Uniform Resource Identifier), utilizado para ejecutar aplicaciones en los navegadores Web. Probablemente el más conocido de estos protocolos es mailto, que es utilizado para ejecutar un cliente de correo desde el navegador Web.

Pero cada desarrollador de software puede registrar sus propias aplicaciones con el sistema operativo. Esto nos lleva a que un estado de riesgo debido a que se ejecutan aplicaciones en el navegador, muchas veces sin el debido control.

Hasta la fecha, los intrusos han logrado ejecutar, de forma no autorizada, aplicaciones desde el navegador visitando sitio Web modificados específicamente para aprovecharse de una vulnerabilidad que utilice el protocolo de administración URI. Microsoft comentó que corresponde a los desarrolladores hacer que sus aplicaciones verifiquen los vínculos para asegurarse de que no incluyan código malicioso, sin embargo, esta semana ha publicado que publicará una actualización para controlar esto desde el sistema operativo.

McFeters, un experto en seguridad para Ernst & Young Global Ltd comentó que a menudo estos protocolos son catalogados como innecesarios e inseguros. Aún y cuando el uso de estos protocolos no pueda ser utilizados para ejecutar código malicioso, los protocolos URI mal diseñados pueden dar acceso a los intrusos para el robo de información o para instalar otro tipo de aplicaciones logrando que el usuario no se de cuenta.

El mes pasado, McFeters y el investigador Billy Rios demostraron como una falla en el software Picasa de Google daba a un intruso el acceso a la galería de fotos de Picasa almacenada en el disco duro de la víctima Agregaron que también han visto fallas en el manejo del protozoo URI en aplicaciones como Adobe, Firefox y Outlook Express.

El jefe de tecnología de Secunia Aps, Thomas Kristenese convino en que el administrador de protocolos URI presenta problemas, los cuales podrían verse reflejadas en Linux y Mac OS X, agregó que probablemente no existe la posibilidad de que otro problema de este tipo pueda afectar a estas plataformas.