3 ene. 2013

Microsoft publica Quick Fix para vulnerabilidad 0-day en IE (Parchea!)

Microsoft se apresuró a emitir una solución rápida para el agujero crítico 0-Day en Internet Explorer 6, 7 y 8 después de los ataques realizados a través de Drive-by Download donde atacantes chinos propagaron programas maliciosos con fines de ciberespionaje en el Consejo de Relaciones Exteriores (CFR). Las descargas son especialmente peligrosas, ya que las víctimas pueden tener su ordenador secuestrado con sólo visitar una página web infectada.

Luego de que el proveedor de seguridad FireEye informaron sobre el día cero, Microsoft confirmó la vulnerabilidad a Krebs.

Así, el 29 de diciembre, Microsoft publicó su aviso de seguridad 2794220. Ese mismo día, US-CERT publicó una nota con los detalles de la vulnerabilidad. El 30 de diciembre, Metasploit publicó un módulo para explotarla sobre IE8. Microsoft actualizó la advertencia el 31 de diciembre para reconocer que la vulnerabilidad afectaba a Internet Explorer 6, IE 7 e IE 8. Las nuevas versiones del navegador Internet Explorer, 9 y 10, no se ven afectados, por lo que Microsoft aconseja a las personas que utilicen las versiones anteriores del navegador, actualizar de forma urgente.

Finalmente Microsoft a publicado un Quick Fix temporal para la vulnerabilidad hasta que la solución definitiva sea provista a través de los canales habituales.

Asimismo, la recomendación del uso de la herramienta EMET que Microsoft viene aconsejando desde hace tiempo para evitar los efectos de exploits similares, es otro síntoma más de la importancia de prevenir estos ataques frente a las reacciones que se suelen adoptar a posteriori para frenarlos. Este cambio de filosofía no es algo fortuito y tiene que ver con la situación actual de explotación constante de vulnerabilidades.

Cristian de la Redacción de Segu-Info

0 comentarios:

Publicar un comentario

Gracias por dejar un comentario en Segu-Info.

Gracias por comentar!