ie8

Alerta roja

Microsoft está investigando informes públicos de una vulnerabilidad (CVE-2013-1347) en el navegador web Internet Explorer 8. Microsoft tiene constancia de ataques que intentan aprovechar esta vulnerabilidad para realizar actividades maliciosas en computadoras con esta versión del navegador web instalado.

Se trata de una vulnerabilidad de ejecución remota de código. La vulnerabilidad se debe a la manera en que el navegador web Internet Explorer 8 tiene acceso a un objeto en memoria que se ha eliminado o no se ha asignado correctamente. La vulnerabilidad puede dañar la memoria de manera tal que podría permitir a un atacante ejecutar código arbitrario en el contexto del usuario actual en Internet Explorer 8. Un atacante podría hospedar un sitio web especialmente diseñado para aprovecharse de esta vulnerabilidad a través de Internet Explorer 8 y convencer a un usuario para que visite el sitio web.

Técnicamente a este tipo de vulnerabilidades se les conoce como 0-Day. Se recomienda por motivos de seguridad a los usuarios de este navegador web, que sigan las indicaciones explicadas en la sección “Solución” de este aviso.

Los navegadores web Internet Explorer 6, Internet Explorer 7, Internet Explorer 9 e Internet Explorer 10 no están afectados por la vulnerabilidad.

Una vez terminada esta investigación, Microsoft adoptará las medidas adecuadas para proteger a los clientes, que podrían incluir una solución mediante nuestro proceso mensual de publicación de actualizaciones de seguridad o una actualización de seguridad independiente, según las necesidades de los clientes.

Factores atenuantes:

  • De forma predeterminada, Internet Explorer 8 en Windows Server 2003, Windows Server 2008 y Windows Server 2008 R2 se ejecuta en un modo restringido conocido como Configuración de seguridad mejorada. Este modo atenúa esta vulnerabilidad.
  • De forma predeterminada, todas las versiones compatibles de Microsoft Outlook, Microsoft Outlook Express y Windows Mail abren los mensajes de correo electrónico HTML en la zona Sitios restringidos. La zona Sitios restringidos, que deshabilita los scripts y los controles ActiveX, contribuye a reducir el riesgo de que un atacante pueda usar esta vulnerabilidad para ejecutar código malintencionado. Si un usuario hace clic en un vínculo de un mensaje de correo electrónico, podría quedar vulnerable por la posibilidad de un ataque basado en web.
  • Un atacante que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario actual. Los usuarios cuyas cuentas estén configuradas con menos derechos de usuario en el sistema correrían un riesgo menor que los que cuenten con derechos de usuario administrativos.
  • En el caso de un ataque basado en web, el intruso podría hospedar un sitio web que contuviera una página web para aprovechar esta vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan u hospedan contenido o anuncios proporcionados por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. Por lo tanto, tendría que atraerlos al sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio web del atacante.

Solución:

Para solucionar temporalmente la vulnerabilidad de seguridad en el navegador web Internet Explorer 8, Microsoft ha publicado un Fix-it (el cual no es necesario para otras versiones del navegador). Este Fix-it  debe ser instalado a la mayor brevedad posible hasta que Microsoft lance el parche oficial cuando esté disponible.

También puede utilizar otro navegador web como: –Firefox, Chrome, Opera, Maxthon, etc.- para acceder a Internet hasta que se corrija el problema.

Fuente: Technet Microsoft Security Advisory 2847140