Zero-Day en Internet Explorer 11

En este sentido, un grupo de investigadores de seguridad acaban de hacer público el descubrimiento de un nuevo Zero-Day exploit en Internet Explorer v11.

El investigador de seguridad John Page publicó detalles sobre una vulnerabilidad XXE (XML eXternal Entity) en IE que puede ser explotada cuando un usuario abre un archivo MHT. Como explica el investigador, la nueva vulnerabilidad permite a cualquier atacante tener acceso al ordenador del afectado, pudiendo robar todo tipo de archivos con facilidad. Pero esto no es lo más interesante. Al parecer el agujero es del tal magnitud, que ni siquiera hace falta tener instalado Internet Explorer para poder ser atacado, toda vez que Microsoft tradicionalmente utiliza parte del código de su navegador web en otras partes de su sistema.

La vulnerabilidad, que de momento no se ha parcheado, afecta a los usuarios de Windows 7, Windows 10 y Windows Server 2012 R2, así que sí, usuarios de Windows XP: en esta ocasión estáis a salvo. Al parecer el problema se deriva de la forma en la que IE gestiona los archivos MHT y además de permitir que los atacantes roben información confidencial, abre la puerta a la instalación de todo tipo de software espía.

Los archivos MHT (la forma que toman algunas páginas web y sus archivos relacionados cuando las descargamos en el ordenador), están pensados para que sea Internet Explorer el que los abra por defecto. Por lo tanto, un e-mail que contenga un archivo malicioso de este tipo o incluso cualquier programa de mensajería instantánea, puede explotar sin demasiadas complicaciones este "agujero".

Por otro lado y aunque es cierto que las nuevas versiones de Internet Explorer disponen de un sistema de seguridad que alertan al usuario si detectan un comportamiento extraño, un archivo malicioso MHT puede incluir líneas de código que desactiven esta advertencia.

Como también señalan los investigadores, este problema de seguridad fue reportado a Microsoft el pasado 27 de marzo. Sin embargo la compañía de Redmond ha afirmado en su respuesta que de momento no contempla corregir este fallo de seguridad de forma inmediata y que probablemente habrá que esperar a la próxima versión de Internet Explorer para verlo solucionado.

Fuente: Muy Seguridad