Microsoft alerta de un GRAVE fallo de seguridad en INTERNET EXPLORER

[Froyandres]

Hola Amigos de IV (!)

Soy de ese 99,% que no utiliza Internet Explorer. Bueno, algún día lo utilicé para descargar Mozilla y sobre todo Google Chrome.

Claro está, si eres de los que usa Windows e Internet Explorer, es mejor que comience a usar otro navegador. Una firma de seguridad llamada Rapid7 descubrió una vulnerabilidad crítica en el programa de Microsoft, que ataca las versiones 7, 8 y 9 de IE en Windows XP, Vista y 7 y para la que no hay todavía una solución definitiva de parte de la compañía.

“Los computadores pueden infectarse simplemente por visitar un sitio Web malicioso, que le da al atacante los mismos privilegios que el usuario“, dice Rapid7 en su sitio Web. Si se trata de un administrador, puede desinstalar programas, borrar archivos o alterar la configuración de Windows. Según la empresa –que desarrolla un proyecto para crear software de prueba para verificar si se es atacado–, la vulnerabilidad ya ha sido aprovechada antes.

Microsoft admitió la situación y dijo que, hasta el momento, no ha creado un parche para solucionar el ‘hueco’ de seguridad. La única forma de evitarlo es instalando este kit de seguridad, deshabilitando el contenido activo (active scripting) y configurando el nivel de seguridad del navegador en ‘Alto’. Sin embargo, como advierte Reuters, “hacer eso podría impactar la usabilidad del PC“.

Según Rapid7, la mejor solución, al menos por ahora, es actualizar a IE 10 –cosa que solo podrá hacer si tiene Windows 7– o cambiar de navegador, y descargar Firefox, Chrome, Opera o Safari. Esto puede ser difícil para quienes deben visitar páginas que solo son compatibles con el navegador de Microsoft, pero en realidad es la opción más fácil.

Microsoft les envió a los medios de comunicación las siguientes recomendaciones para tratar de contener el problema. Las compartimos para que sean tomadas en cuenta, pero aclaramos que seguir las recomendaciones de Microsoft puede afectar de otras maneras el funcionamiento del sistema.

“Algunos consejos para mitigar el riesgo de ser afectado por esta vulnerabilidad:

1. Asegúrese de utilizar una cuenta de usuario con privilegios limitados para navegar. Nunca se debería usar una cuenta de administrador para realizar labores cotidianas, y mucho menos para navegar.

2. Actualice su programa antivirus.

3. Instale EMET (Enhanced Mitigation Experience Toolkit). El EMET es una herramienta que mejora las características de seguridad de Internet Explorer; con su instalación, IE queda protegido contra esta vulnerabilidad. Puede obtener EMET aquí: http://support.microsoft.com/kb/2458544

Recomendaciones

1. Deshabilite la funcionalidad de ejecución automática de scripts en Internet Explorer:

2. En Herramientas -> Opciones de Internet -> Seguridad, puede configurar la seguridad de la zona de Internet en el nivel máximo (Seguridad Elevada). Esto hace que el navegador en vez de ejecutar automáticamente Active X, Active Script, JavaScript y otros tipos de scripts, le pregunte si desea o no ejecutarlos”.


Y por último les presento este corto testimonio de expertos 'Rusos' que nos comenta quienes están detrás de las frecuentes violaciones a la seguridad cibernetica.

Así que amigos, les recomiendo tener su antivirus actualizado y navegar por Chrome como lo dicen los expertos.

Spoiler:

http://www.enter.co/seguridad/detectada-vulnerabilidad-critica-en-internet-explorer/

[Tururojo]

No me lo creo, que el EI es vulnerable, imposible, con lo que se preocupa Microsoft por la seguridad..........

Pero bueno no me preocupa mucho, pues hace años, (que ya me parecen siglos) que no uso la chorrada del EI.................

Gracias por la informacion y saludos.

[Eloy58]

[baduser]

Internet Explorer ?????

que es eso ???

[Hectorsito20]

Dabuser compañero yo tambien me pregunto que eso... tengo como 4 años en lo que es la tecnología y pues nunca lo he usado ni lo usaré por más actualizado y moderno que sea... :D Saludos buena inofrmación b

[cejd]

Metasploit ha creado y hecho público un exploit que permite aprovechar una de las vulnerabilidades que Internet Explorer sufre en estos días y no ha corregido aún. En realidad ya existía un exploit público para este fallo, solo que ahora Microsoft lo ha reconocido. Ofrecemos algunas recomendaciones para mitigar el problema hasta que exista parche.
El día 8 de diciembre se hacía público un fallo en el procesamiento de Cascading Style Sheets (CSS) que permitía provocar una denegación de servicio (que Internet Explorer dejase de responder) de forma sencilla con sólo visitar una web. En principio, las denegaciones de servicio en navegadores no son del todo graves, sino más bien una incomodidad para el usuario. Además, son fáciles de provocar con JavaScript.

El problema con ciertas denegaciones de servicio es que a veces pueden ir más allá, y acabar en ejecución de código (no es la primera vez que ocurre). El hecho de que una aplicación deje de responder puede ser el indicio de que existe alguna forma de controlar el flujo de instrucciones. Si es así, el problema es muy grave. Y esto precisamente es lo que ocurrió el día 14. Algunos investigadores descubrieron cómo ir más allá y ejecutar código arbitrario en lo que parecía una simple denegación de servicio. Afectaba a Internet Explorer 6, 7 y 8.

Muy poco después, Nephi Johnson de breakingpointsystems.com, publicaba el código necesario para aprovechar la vulnerabilidad. El día 23 de diciembre el fallo se añade al popular Metasploit. La diferencia con respecto al anterior, es que ahora el exploit podía eludir DEP y ASLR en Vista y 7. Esto es relativamente sencillo últimamente, debido a la carga dinámica en Internet Explorer de librerías que no están marcadas para utilizar ASLR (en este caso mscorie.dll) y el uso de RoP (return oriented programming).

Ese mismo día Microsoft reconoce el fallo y comienza a trabajar en él para solucionarlo. No se tiene constancia de que esté siendo aprovechado por atacantes aún para instalar malware (aunque sin duda es lo más probable).

Damos algunas sugerencias para mitigar el fallo. En realidad, los consejos son válidos para intentar mitigar cualquier vulnerabilidad:

* Utilizar las zonas de seguridad de Internet Explorer. Si se eleva a “alta” el nivel de seguridad de la zona de Internet del navegador, se evitarían muchísimos de los ataques actuales. Esta posibilidad está disponible en las opciones del navegador. Si se tienen problemas para visualizar páginas legítimas, basta con añadirlas a la lista de confianza.

* Utilizar Enhanced Mitigation Experience Toolkit (EMET) de Microsoft. Esta herramienta permite que todas las DLL cargadas por un programa sean obligadas a usar ASLR. Esto quiere decir que serán colocadas en lugares aleatorios de la memoria y el exploit que intente apoyarse en ellas para funcionar, no lo hará.

* Ahora que están de moda las sandbox desde que Adobe la implementa en su lector, cabe recordar que existen programas que permiten “encapsular” en una sandbox otras aplicaciones. En concreto, por ejemplo sandboxie (gratuito) permite ejecutar el navegador dentro de un entorno virtual. Cualquier ataque no pasaría al entorno “real” del sistema.

* Existen aplicaciones como WehnTrus (gratuita) que permiten implementar ASLR en los sistemas operativos de Microsoft que no lo soportan, como Windows XP y 2003.

[tortex]

Gracias por la informacion compañeros Froyandres y Cejd...

[Mikan]

IE solo sigue en mi sistema para evitar los conflictos que se generan al borrarlo del sistema xD pero eso si con todos sus iconos de acceso lejos del alcance de cualquiera : )

[VJEVans]

yo por mi parte en algunos casos utilizo IE 9 .. pero da igual si lo dejo de usar .. sigo con firefox

[Prizax]