Secunia ha liberado una alerta de seguridad sobre una nueva vulnerabilidad en Microsoft Internet Explorer 6.
Detalles
El detalle consultivo de Secunia consigna una nueva vulnerabilidad en el Explorador Internet 6 de Microsoft y la señala como una amenaza muy crítica. Michael Zalewski publicó el consultivo original el 23 de abril de 2006. Este consultor de seguridad ha conducido sus propias pruebas y encontró que incluso las versiones remendadas del IE 6 pueden estar afectadas por corrupción de memoria.
La vulnerabilidad potencialmente puede ser explotada por gente maliciosa para comprometer el sistema de un usuario y es causada por un error en el procesamiento de ciertas secuencias de etiquetas de HTML "de objeto" anidadas. Puede explotarse para corromper la memoria engañando a un usuario para que visite un sitio web. Se supone que permite la ejecución arbitraria de código, pero no ha sido probado.
Durante el análisis, Secunia descubrió una variante de esta vulnerabilidad y confirmó la ejecución de código en un sistema totalmente remendado con el Explorador de Internet 6.0 y Microsoft Windows XP SP2. Otras versiones también pueden ser afectadas. Los detalles sobre esta variante no se revelarán públicamente por ahora, pero se han enviado a Microsoft, donde trabajan actualmente en la solución.
Remiendos y recomendaciones
No existen aún remiendos para este defecto. Hasta que Microsoft libere la corrección del problema, la única respuesta válida es: evitar la visita a websites no confiables.
Mientras tanto, el Equipo de Respuesta de Incidente de Seguridad francés (FrSIRT) no tiene vulnerabilidades de Windows hipercríticas en lista, pero cita varios remiendos críticos para versiones Linux. Cada uno de estos remiendos elimina varias vulnerabilidades CVE detectadas.
- Gentoo ha liberado una actualización dirigida a una vulnerabilidad de ejecución remota de código en Mozilla.
- Debian remendó esta amenaza, así como otra amenaza de ejecución de código de Firefox, la semana pasada.
- Fedora hizo lo mismo.
- Fedora y Gentoo remendaron una amenaza de ejecución remota de código en Ethereal la semana pasada también.
- SGI liberó un remiendo crítico la semana pasada.
Más información Más información
