Ejecución XSS con archivo MHTML afecta al Service Pack 2

Pues sí, ya estamos enterados,
http://www.vsantivirus.com/vul-mhtml-xss-ie.htm

Las vulnerabilidades están a la orden del día... y seguirán apareciendo más.


Saludos,
Enrique Cortés
Microsoft MVP - Windows - IE/OE


Normas de conducta de los grupos de noticias:
http://support.microsoft.com/defaul...newsreglas
http://www.microsoft.com/communitie...fault.mspx

Este mensaje se proporciona "como está" sin garantías de ninguna clase, y no otorga ningún derecho.
This posting is provided "AS IS" with no warranties, and confers no rights.

escribió en el mensaje news:
MÁS BUGS
Ejecución XSS con archivo MHTML afecta al Service Pack 2

Internet Explorer es propenso a una vulnerabilidad del tipo
"Cross-Domain" (dominio cruzado), lo que significa que desde una
ventana abierta en un determinado dominio o zona de seguridad, se
puedan ejecutar físicamente acciones en otra ventana que está en un
dominio o zona diferente (por ejemplo en la zona local).


12:10 - 23/08/2004 | Fuente: VS ANTIVIRUS

Un JavaScript, podría ser invocado en el contexto de la nueva página,
haciendo posible un XSS ("Cross Site Scripting", la ejecución de un
script de una página en otra). En este caso, ello es lo que se produce
cuando un archivo MHTML (o MHT) construido maliciosamente, es invocado
localmente, según comenta VSantivirus.



Los MHTML (encapsulación de extensiones multiuso de correo -MIME- en
un solo HTML), son utilizados por ejemplo, por el Outlook Express al
enviarse varios contenidos con formato web en el cuerpo de un mensaje
de correo electrónico.

Una prueba de concepto recientemente publicada, emplea etiquetas IMG
en un archivo MHT dentro de un ZIP, conteniendo un JavaScript que
carga una página Web remota. El JavaScript se ejecuta en el contexto
de la zona de seguridad local, cuando el archivo MHTML es invocado
desde el disco local (podría ocurrir cuando se descarga un mensaje y
se abre para leerlo, por ejemplo).

El problema afecta al Microsoft Internet Explorer 6.0 con todos los
parches y actualizaciones, cuando es instalado en una computadora que
está ejecutando Windows XP con el nuevo Service Pack 2 instalado.
Posiblemente también ocurra en versiones anteriores de Windows.

La prueba de concepto está disponible en la página del descubridor del
fallo.


Referencias:

Microsoft Windows XP SP2
http://www.securityfocus.com/archive/1/372253

Pues sí, ya estamos enterados,
http://www.vsantivirus.com/vul-mhtml-xss-ie.htm

Las vulnerabilidades están a la orden del día... y seguirán apareciendo más.


Saludos,
Enrique Cortés
Microsoft MVP - Windows - IE/OE


Normas de conducta de los grupos de noticias:
http://support.microsoft.com/defaul...newsreglas
http://www.microsoft.com/communitie...fault.mspx

Este mensaje se proporciona "como está" sin garantías de ninguna clase, y no otorga ningún derecho.
This posting is provided "AS IS" with no warranties, and confers no rights.

escribió en el mensaje news:
MÁS BUGS
Ejecución XSS con archivo MHTML afecta al Service Pack 2

Internet Explorer es propenso a una vulnerabilidad del tipo
"Cross-Domain" (dominio cruzado), lo que significa que desde una
ventana abierta en un determinado dominio o zona de seguridad, se
puedan ejecutar físicamente acciones en otra ventana que está en un
dominio o zona diferente (por ejemplo en la zona local).


12:10 - 23/08/2004 | Fuente: VS ANTIVIRUS

Un JavaScript, podría ser invocado en el contexto de la nueva página,
haciendo posible un XSS ("Cross Site Scripting", la ejecución de un
script de una página en otra). En este caso, ello es lo que se produce
cuando un archivo MHTML (o MHT) construido maliciosamente, es invocado
localmente, según comenta VSantivirus.



Los MHTML (encapsulación de extensiones multiuso de correo -MIME- en
un solo HTML), son utilizados por ejemplo, por el Outlook Express al
enviarse varios contenidos con formato web en el cuerpo de un mensaje
de correo electrónico.

Una prueba de concepto recientemente publicada, emplea etiquetas IMG
en un archivo MHT dentro de un ZIP, conteniendo un JavaScript que
carga una página Web remota. El JavaScript se ejecuta en el contexto
de la zona de seguridad local, cuando el archivo MHTML es invocado
desde el disco local (podría ocurrir cuando se descarga un mensaje y
se abre para leerlo, por ejemplo).

El problema afecta al Microsoft Internet Explorer 6.0 con todos los
parches y actualizaciones, cuando es instalado en una computadora que
está ejecutando Windows XP con el nuevo Service Pack 2 instalado.
Posiblemente también ocurra en versiones anteriores de Windows.

La prueba de concepto está disponible en la página del descubridor del
fallo.


Referencias:

Microsoft Windows XP SP2
http://www.securityfocus.com/archive/1/372253

Pues sí, ya estamos enterados,
http://www.vsantivirus.com/vul-mhtml-xss-ie.htm

Las vulnerabilidades están a la orden del día... y seguirán apareciendo más.


Saludos,
Enrique Cortés
Microsoft MVP - Windows - IE/OE


Normas de conducta de los grupos de noticias:
http://support.microsoft.com/defaul...newsreglas
http://www.microsoft.com/communitie...fault.mspx

Este mensaje se proporciona "como está" sin garantías de ninguna clase, y no otorga ningún derecho.
This posting is provided "AS IS" with no warranties, and confers no rights.

escribió en el mensaje news:
MÁS BUGS
Ejecución XSS con archivo MHTML afecta al Service Pack 2

Internet Explorer es propenso a una vulnerabilidad del tipo
"Cross-Domain" (dominio cruzado), lo que significa que desde una
ventana abierta en un determinado dominio o zona de seguridad, se
puedan ejecutar físicamente acciones en otra ventana que está en un
dominio o zona diferente (por ejemplo en la zona local).


12:10 - 23/08/2004 | Fuente: VS ANTIVIRUS

Un JavaScript, podría ser invocado en el contexto de la nueva página,
haciendo posible un XSS ("Cross Site Scripting", la ejecución de un
script de una página en otra). En este caso, ello es lo que se produce
cuando un archivo MHTML (o MHT) construido maliciosamente, es invocado
localmente, según comenta VSantivirus.



Los MHTML (encapsulación de extensiones multiuso de correo -MIME- en
un solo HTML), son utilizados por ejemplo, por el Outlook Express al
enviarse varios contenidos con formato web en el cuerpo de un mensaje
de correo electrónico.

Una prueba de concepto recientemente publicada, emplea etiquetas IMG
en un archivo MHT dentro de un ZIP, conteniendo un JavaScript que
carga una página Web remota. El JavaScript se ejecuta en el contexto
de la zona de seguridad local, cuando el archivo MHTML es invocado
desde el disco local (podría ocurrir cuando se descarga un mensaje y
se abre para leerlo, por ejemplo).

El problema afecta al Microsoft Internet Explorer 6.0 con todos los
parches y actualizaciones, cuando es instalado en una computadora que
está ejecutando Windows XP con el nuevo Service Pack 2 instalado.
Posiblemente también ocurra en versiones anteriores de Windows.

La prueba de concepto está disponible en la página del descubridor del
fallo.


Referencias:

Microsoft Windows XP SP2
http://www.securityfocus.com/archive/1/372253

ERES UN MALNACIDO

JUAJUAJUA


Mostrar la cita

Pues sí, ya estamos enterados,
http://www.vsantivirus.com/vul-mhtml-xss-ie.htm

Las vulnerabilidades están a la orden del día... y

seguirán apareciendo más.
Mostrar la cita

Saludos,
Enrique Cortés
Microsoft MVP - Windows - IE/OE


Normas de conducta de los grupos de noticias:
http://support.microsoft.com/defaul...cid=fh;ES-

ES;newsreglas
Mostrar la cita

http://www.microsoft.com/communitie...fault.mspx

Este mensaje se proporciona "como está" sin garantías de

ninguna clase, y no otorga ningún derecho.
Mostrar la cita

This posting is provided "AS IS" with no warranties, and

confers no rights.
Mostrar la cita

escribió en el

mensaje news:
Mostrar la cita

MÁS BUGS
Ejecución XSS con archivo MHTML afecta al Service Pack 2

Internet Explorer es propenso a una vulnerabilidad del

tipo
Mostrar la cita

"Cross-Domain" (dominio cruzado), lo que significa que

desde una
Mostrar la cita

ventana abierta en un determinado dominio o zona de

seguridad, se
Mostrar la cita

puedan ejecutar físicamente acciones en otra ventana que

está en un
Mostrar la cita

dominio o zona diferente (por ejemplo en la zona local).


12:10 - 23/08/2004 | Fuente: VS ANTIVIRUS

Un JavaScript, podría ser invocado en el contexto de la

nueva página,
Mostrar la cita

haciendo posible un XSS ("Cross Site Scripting", la

ejecución de un
Mostrar la cita

script de una página en otra). En este caso, ello es lo

que se produce
Mostrar la cita

cuando un archivo MHTML (o MHT) construido

maliciosamente, es invocado
Mostrar la cita

localmente, según comenta VSantivirus.



Los MHTML (encapsulación de extensiones multiuso de

correo -MIME- en
Mostrar la cita

un solo HTML), son utilizados por ejemplo, por el

Outlook Express al
Mostrar la cita

enviarse varios contenidos con formato web en el cuerpo

de un mensaje
Mostrar la cita

de correo electrónico.

Una prueba de concepto recientemente publicada, emplea

etiquetas IMG
Mostrar la cita

en un archivo MHT dentro de un ZIP, conteniendo un

JavaScript que
Mostrar la cita

carga una página Web remota. El JavaScript se ejecuta en

el contexto
Mostrar la cita

de la zona de seguridad local, cuando el archivo MHTML

es invocado
Mostrar la cita

desde el disco local (podría ocurrir cuando se descarga

un mensaje y
Mostrar la cita

se abre para leerlo, por ejemplo).

El problema afecta al Microsoft Internet Explorer 6.0

con todos los
Mostrar la cita

parches y actualizaciones, cuando es instalado en una

computadora que
Mostrar la cita

está ejecutando Windows XP con el nuevo Service Pack 2

instalado.
Mostrar la cita

Posiblemente también ocurra en versiones anteriores de

Windows.
Mostrar la cita

La prueba de concepto está disponible en la página del

descubridor del
Mostrar la cita

fallo.


Referencias:

Microsoft Windows XP SP2
http://www.securityfocus.com/archive/1/372253


.