Vulnerabilidad crítica en Netscape, Mozilla y Firefox
Una vulnerabilidad
reportada como crítica ha sido identificada en los navegadores Netscape, Mozilla
y Firefox, la cuál podría ser explotada por un atacante remoto para la ejecución
arbitraria de comandos.
El problema se debe a un error de desbordamiento de búfer en la función "NormalizeIDN",
cuando se procesan ciertas URIs especialmente modificadas, embebidas dentro de
etiquetas "HREF". El uso de ciertos caracteres, puede hacer que el navegador
deje de responder, o inclusive permitir que se llegue a ejecutar código
malicioso.
Un atacante remoto podría
aprovecharse de esto, para tomar el control total del equipo que ejecute
cualquiera de los navegadores afectados, por el simple hecho de que la víctima
visite una página web modificada maliciosamente. No se requiere ninguna otra
interacción con el usuario para que ello ocurra.
Se ha publicado una simple prueba de concepto de este fallo, que provoca que el
navegador deje de responder. Para ello solo basta un código HTML con el
siguiente código:
Básicamente, se sugiere un cambio en la configuración de Mozilla y de Firefox,
que minimiza el riesgo, hasta que sea publicada una actualización.
Para ello, escriba lo siguiente en la barra de direcciones (más Enter):
about:config
En la barra de filtrado (Filter toolbar), ingrese lo siguiente:
network.enableIDN
Haga clic con el botón derecho en el ítem "network.enableIDN", y seleccione "toggle"
para cambiar el valor a "false".
Para verificar que esto ha sido cambiado, asegúrese de cerrar el navegador,
vuelva a ejecutarlo, y vuelva a repetir los pasos arriba indicados, corroborando
que el valor de "network.enableIDN" sea "false".
También existe un pequeño parche en forma de "add-on", que realiza el mismo
cambio, y que puede ser descargado del enlace arriba mencionado, en
addons.mozilla.org.
Enviado por: NeO el Domingo, 11 septiembre a las 10:05:48
Login
¿Todavía no tienes una cuenta? Puedes crearte una. Como usuario registrado tendrás ventajas como seleccionar la apariencia de la página, configurar los comentarios y enviar los comentarios con tu nombre.
