Sistemas Afectados

1. Descripción

   Benjamin Tobias Franz reportó una vulnerabilidad en Internet Explorer, que puede explotarse por personas maliciosas para comprometer el sistema de un usuario.

   La vulnerabilidad es ocasionada porque ciertos objetos no son inicializados correctamente cuando se utiliza la función "window()" en conjunto con el evento "". Esto puede explotarse para ejecutar código arbitrario en el navegador via código JavaScript malicioso que se carga cuando se accede a un sitio.

   Ejemplo:
   
   

   Una explotación exitosa requiere engañar al usuario para que ingrese a un sitio Web malicioso.

   Nota: Se liberó una prueba de concepto para esta vulnerabilidad.

   La vulnerabilidad fue confirmada en Internet Explorer 6.0 corriendo en Windows XP SP2 o en Windows 2000 SP4.

2. Impacto

   Acceso al sistema.

3. Solución

   Deshabilitar Active Scripting excepto para sitios confiables.

4. Apéndices

   Mayor información.

   http://www.computerterrorism.com/research/ie/ct21-11-2005.htm

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Floriberto López Velázquez (flopez at seguridad dot unam dot mx)