Errores en explorer?

19/11/2004 - 19:43 por JP | Informe spam
He leido en un articulo lo siguiente:

Se acaban de descubrir dos nuevos bugs en Internet Explorer que podrían ser
aprovechados para engañar al usuario de forma que descargue archivos
ejecutables malignos, haciéndose pasar por simples archivos html.

El primer bug permite burlar una característica del Service Pack 2 que avisa
al usuario cuando se abren archivos con extensiones potencialmente
peligrosas. El bug consiste en que si el archivo a descargar se manda con
determinada cabecera HTTP, en ciertas situaciones el navegador no avisará al
usuario.

El segundo error consiste en un fallo al usar la función de Javascript
"execCommand()", que puede aprovecharse para utilizar un diálogo de descarga
del tipo "Guardar documento HTML" a la hora de guardar el documento en el pc
del usuario, y que permite ocultar la verdadera extensión del archivo.

Evidentemente, para que el ataque tuviera éxito el usuario debería tener
activada la opción de ocultar extensiones conocidas (activada por defecto)
por lo que la vulnerabilidad solo se ha calificado como "Moderadamente
crítica".

Por el momento Microsoft no ha publicado ningún parche, por lo que se
recomienda desactivar Active Scripting y la opción de ocultar las extensiones
para los tipos de archivo conocidos.

Pues bien, para cuando ese parche ?

Gracias a todos
 

Leer las respuestas

#1 JM Tella Llop [MVP Windows]
19/11/2004 - 19:45 | Informe spam
¿donde está es informacion? ¿y la prueba de concepto?

Jose Manuel Tella Llop
MVP - Windows
(quitar XXX)
http://www.multingles.net/jmt.htm

Este mensaje se proporciona "como está" sin garantías de ninguna clase, y no otorga ningún derecho.

This posting is provided "AS IS" with no warranties, and confers no rights.
You assume all risk for your use.



"JP" wrote in message news:
He leido en un articulo lo siguiente:

Se acaban de descubrir dos nuevos bugs en Internet Explorer que podrían ser
aprovechados para engañar al usuario de forma que descargue archivos
ejecutables malignos, haciéndose pasar por simples archivos html.

El primer bug permite burlar una característica del Service Pack 2 que avisa
al usuario cuando se abren archivos con extensiones potencialmente
peligrosas. El bug consiste en que si el archivo a descargar se manda con
determinada cabecera HTTP, en ciertas situaciones el navegador no avisará al
usuario.

El segundo error consiste en un fallo al usar la función de Javascript
"execCommand()", que puede aprovecharse para utilizar un diálogo de descarga
del tipo "Guardar documento HTML" a la hora de guardar el documento en el pc
del usuario, y que permite ocultar la verdadera extensión del archivo.

Evidentemente, para que el ataque tuviera éxito el usuario debería tener
activada la opción de ocultar extensiones conocidas (activada por defecto)
por lo que la vulnerabilidad solo se ha calificado como "Moderadamente
crítica".

Por el momento Microsoft no ha publicado ningún parche, por lo que se
recomienda desactivar Active Scripting y la opción de ocultar las extensiones
para los tipos de archivo conocidos.

Pues bien, para cuando ese parche ?

Gracias a todos

Preguntas similares