Menos de dos meses después del último parche acumulativo para su navegador, Microsoft se ve forzado a liberar uno nuevo para corregir una vulnerabilidad que no había sido solucionada completamente en el anterior, y que estaba siendo aprovechada por algunos gusanos de internet.
Esta falla había sido corregida parcialmente en el Boletín de Seguridad MS03-032, pero todavía puede ser explotada a través de ventanas popup, pudiendo un atacante generar una página de internet o mensaje de correo electrónico en formato HTML que la aproveche para ejecutar código arbitrario en un equipo vulnerable.
La vulnerabilidad en cuestión se encuentra en las etiquetas de tipo OBJECT, si las mismas contienen un parámetro DATA apuntando a un archivo del tipo HTA. Esto permite la ejecución de código en la Zona Local del equipo, salteándose las restricciones de seguridad.
Ahora, esta falla ha sido corregida en un parche adjunto al Boletín de Seguridad MS03-040, el cual también contiene soluciones para otros dos problemas de seguridad.
Uno de estos otros agujeros de seguridad es similar al antes mencionado, pero relacionado con intercambio de información en formato XML. De la misma manera que en el caso anterior, se puede aprovechar una mala interpretación de estos archivos por parte del Internet Explorer para ejecutar código arbitrario en un equipo con una versión vulnerable del navegador.
Además, el parche modifica la forma en que el Internet Explorer maneja algunas etiquetas DHTML, para evitar que estas se puedan aprovechar para explotar vulnerabilidades o ejecutar código salteándose zonas de seguridad.
Los parches en cuestión pueden descargarse desde las siguientes direcciones:
También puede instalarse desde el sitio Windows Update, en forma automática y sencilla. Se recomienda que todos los usuarios de Internet Explorer apliquen este parche a la brevedad posible.
Más información
Microsoft.com – Boletín de Seguridad MS03-040
http://www.microsoft.com/technet/security/bulletin/MS03-040.asp
Microsoft.com – Windows Update
http://www.windowsupdate.com
|
