Mostrando entradas con la etiqueta internet explorer. Mostrar todas las entradas
Mostrando entradas con la etiqueta internet explorer. Mostrar todas las entradas
0

Microsoft ha publicado un Security Advisory Notification haciendo referencia a la vulnerabilidad que afecta a Internet Explorer, la cual ya habiamos notificado en este blog el dia 10 de diciembre (descubierta por VUPEN).

Según explica Microsoft, están “investigando nuevos informes sobre una vulnerabilidad en todas las versiones de Internet Explorer” y añaden que “el principal impacto de la vulnerabilidad es la ejecución remota de código”.

Al parecer, este fallo de seguridad aprovecha la creación de la memoria sin inicializar durante una función de CSS en Internet Explorer. En este sentido reconocen que “es posible que ciertas condiciones de memoria sean aprovechadas por un atacante para utilizar una web creada a medida para conseguir privilegios de ejecución remota”.


Microsoft Security Advisory Notification

fuente: microsoft.com

New Internet Explorer vulnerability

Posted: 10/12/10 by komz in Etiquetas: , ,
0

Ha sido identificada una vulnerabilidad en Microsoft Internet Explorer, que podría ser explotada por atacantes remotos para tomar el completo control de un sistema vulnerable.

Este problema esta causado debido a un error al procesar una colección de referencias a hojas de estilo (CSS, que incluyan varios "@ import") de páginas web, usando después liberar la biblioteca "mshtml.dll", lo que podría permitir a atacantes remotos ejecutar código arbitrario a través de una página web especialmente diseñada.

VUPEN (quien ha publicado la brecha de seguridad) ha confirmado que esta vulnerabilidad se da en Microsoft Internet Explorer 8 en Windows 7, Windows Vista SP2 y Windows XP Service Pack 3, y con Internet Explorer 7 y 6 en Windows XP SP3.

Más información:
http://www.vupen.com/english/advisories/2010/3156
http://seclists.org/fulldisclosure/2010/Dec/110


fuente: vupen.com | csirtcv.es

Internet Explorer 9 tendrá sistema “anti rastreo”

Posted: 9/12/10 by komz in Etiquetas: , ,
0

La compañía de Redmond ha anunciado que incluirán en Internet Explorer 9 una “nueva herramienta para ayudar a los consumidores a tener el control sobre el potencial rastreo en línea de empresas mientras se mueven en la web”.

Microsoft incluirá "Tracking Protection" en Internet Explorer 9

Este nuevo sistema consistirá en la inclusión de “listas de protección contra rastreos”, una especie de lista negra que permitirá a los usuarios elegir con que sites no quieren compartir su información.

Se trata de una herramienta similar al sistema InPrivate Subscriptions que se trató de incluir en Internet Explorer 8 pero que fue descartada por la oposición de los anunciantes.

Este anuncio se produce poco después de que la Comisión Federal de Comercio (FTC) de Estados Unidos emitiera una recomendación para adoptar este tipo de sistemas que eviten el seguimiento de terceras empresas, principalmente de compañías publicitarias.

De hecho, las propuestas para mejorar la privacidad de los usuarios se están encontrando con la férrea oposición de los anunciantes que se sirven de esta información para conocer los intereses de los internautas y personalizar la publicidad online.

fuente: eweekeurope.es

0

Microsoft ha publicado los boletines de seguridad del mes de Noviembre del año 2010 que solucionan diversas vulnerabilidades en Microsoft Office y Microsoft Forefront Unified Gateway. Esta actualización corrige un total de once vulnerabilidades mediante tres boletines, siendo uno de ellos crítico y los otros dos importantes.

Los boletines publicados son los siguientes:
  • MS10-087 . Vulnerabilidades en Microsoft Office podrían permitir la ejecución remota de código. Esta actualización de seguridad resuelve una vulnerabilidad de la que se ha informado de forma pública y cuatro vulnerabilidades de las que se ha informado de forma privada en Microsoft Office. La vulnerabilidad más grave podría permitir la ejecución remota de código si un usuario abre un mensaje de correo electrónico RTF especialmente diseñado u obtiene una vista previa de él. Esta actualización soluciona las siguiente vulnerabilidades:
  • MS10-088 .Vulnerabilidades en Microsoft PowerPoint podrían permitir la ejecución remota de código. Esta actualización de seguridad resuelve dos vulnerabilidades de las que se ha informado de forma privada en Microsoft Office que podrían permitir la ejecución remota de código si un usuario abre un archivo de PowerPoint especialmente diseñado. Un atacante que aprovechara cualquiera de estas vulnerabilidades podría lograr el control total de un sistema afectado. Esta actualización soluciona las siguientes vulnerabilidades:
    • CVE-2010-2572 Vulnerabilidad de desbordamiento de búfer de la pila de RTF.
    • CVE-2010-2573 Vulnerabilidad de desbordamiento de enteros en PowerPoint que provoca daños en el montón.
  • MS10-089 .Vulnerabilidades en Forefront Unified Access Gateway (UAG) podrían permitir la elevación de privilegios. Esta actualización de seguridad resuelve cuatro vulnerabilidades de las que se ha informado de forma privada en Forefront Unified Access Gateway (UAG). La más grave de estas vulnerabilidades podría permitir la elevación de privilegios si un usuario visita un sitio web afectado mediante una URL especialmente diseñada. Esta actualización soluciona las siguientes vulnerabilidades:
    • CVE-2010-2733 Vulnerabilidad XSS en UAG que permite la elevación de privilegios.
    • CVE-2010-2734 Vulnerabilidad de problema de XSS en sitio web de portal para móviles de UAG en Forefront Unified Access Gateway.
    • CVE-2010-3936 Vulnerabilidad de XSS en Signurl.asp.
    • CVE-2010-2732 Vulnerabilidad de suplantación de identidad de redireccionamiento de UAG.

Nota: Esta actualización no soluciona la vulnerabilidad 0day en Internet Explorer publicada el pasado 3 de Noviembre.

BOLETIN DE SEGURIDAD DE MICROSOFT, NOVIEMBRE 2010

fuente: cert.inteco.es | microsoft.com

0

La próxima actualización mensual de seguridad de Microsoft, que será lanzada la próxima semana, no incluirá parches para Windows ni Internet Explorer (IE). Se trata de la primera vez en un año que Microsoft lanza su actualización sin ningún parche para Windows.

La actualización de noviembre se distribuirá en tres boletines, con los que Microsoft pretende cubrir 11 vulnerabilidades en Office y Forefront Unified Access Gateway. De ellos uno ha sido clasificado por la compañía como crítico, el nivel más alto dentro de la escala de vulnerabilidades del fabricante. Los otros dos son “importantes”, el segundo nivel de peligrosidad.

Concretamente, las vulnerabilidades cubiertas con los parches de estos boletines afectan a los productos Office XP SP3; Office 2003 SP3; Office 2007 SP2; Office 2010 (de 32 y 64 bits); Office for Mac 2011, software que salió a la venta hace sólo una semana; Microsoft PowerPoint Viewer; y Forefront Unified Access Gateway 2011 (incluidas actualizaciones 1 y 2).

Así, la vulnerabilidad crítica de día cero recién descubierta en IE queda por el momento sin resolver. Ya se están produciendo ataques para su explotación en la versión 6 y 7 del navegador.

fuente: csospain.es

0

Hispasec ha llevado a cabo un estudio para determinar cuál es el navegador más seguro a la hora de bloquear intentos de fraude en la web. Para ello han analizado 20.263 páginas maliciosas evaluando el grado de protección que ofrece cada navegador.

Los resultados del estudio indican que Firefox es el navegador más seguro, ya que consiguió proteger al usuario en el 35% de los casos.

El segundo más seguro es Chrome, que activó el filtro de seguridad en el 32,7% de los intentos de fraude, seguido por Internet Explorer que protegió al usuario un 25,3% de las veces.

El navegador menos seguro sería Opera y además con una diferencia bastante notable respecto a los otros, ya que tan sólo bloqueó el 8,3% de los intentos de fraude

Entre las conclusiones del estudio aseguran que “existe una área de oportunidad muy interesante en la compartición de las fuentes de datos en pro de la seguridad global”, ya que las páginas detectadas por Firefox no son en muchos casos detectadas por los otros navegadores y viceversa.

Además, apuntan que, teniendo en cuenta el bajo porcentaje de protección en general, “cobra sentido el instalar soluciones de seguridad adicionales con funciones similares, basadas en el filtrado de URL”.

fuente: eweekeurope.es

Solución para la vulnerabilidad 0day de Internet Explorer

Posted: 4/11/10 by komz in Etiquetas: , , ,
0

Microsoft ha publicado una solución (Fixit) de seguridad para la vulnerabilidad 0day descubierta recientemente en Internet Explorer. Dicha solución no pretende ser un sustituto de cualquier actualización de seguridad por lo que se recomienda instalar siempre las actualizaciones de seguridad más recientes.

Se ha creado una base de datos de compatibilidad de aplicaciones que permite la prevención de ejecución de datos (DEP) para todas las versiones de Internet Explorer que admiten DEP. Para habilitar o deshabilitar DEP automáticamente en Internet Explorer 7, necesita descargar y ejecutar el FixIt publicado por Microsoft pulsando en "Corregir el problema" (Microsoft FixIt 50285).

Notas:
  • No es necesario esta base de datos si utiliza Internet Explorer 8 en Windows XP Service Pack 3 (SP3), en Windows Vista SP1 o en las versiones posteriores de Windows. Esto es debido a que Internet Explorer 8 emplea DEP de forma predeterminada en estas plataformas.
  • Para que esta solución sea efectiva, el procesador debe ser compatible con DEP (hardware-enforced DEP).
Además de esta solución, también puede implementarse la utilidad del Kit de herramientas de experiencia de mitigación mejorada (EMET)  para ayudar a evitar las vulnerabilidades de software.

fuente: inteco.org | microsoft.com 




0

Microsoft emitió ayer su Boletín de seguridad correspondiente al mes de octubre. Se trata de la mayor actualización de este tipo realizada por el fabricante hasta el momento.

En total, Microsoft cubrió ayer 49 vulnerabilidades en varios de sus productos, incluidos Windows, Internet Explorer y Office. Los parches lanzados para resolverlas están organizados en 16 grupos o actualizaciones.

Según ha explicado la compañía, dos de esas 16 actualizaciones –la MS10-071 para Internet Explorer y la MS10-076 para Windows- son las de mayor prioridad, dado que se cree que el código de ataque contra ellas probablemente haya sido ya desarrollado.

Andrew Storms, director de Operaciones de Seguridad en NCircle, coincide en que estas dos actualizaciones deben considerarse las más importantes porque pueden ser explotadas mediante ataques Internet que pasen inadvertidos para el usuario (conocidos como ataques “drive-by”).

MS10-071 cubre diez brechas en Internet Explorer, dos de ellas críticas y explotables vía ataques “drive-by”, mientras que MS10-76 resuelva un fallo crítico en el elemento Windows Embedded Open Type (EOT) Font Engine utilizado por Internet Explorer. Las más recientes versiones de Windows incluyen una tecnología de seguridad denominada ASLR (Address Space Layout Randomization) que hace más difícil la explotación de esta última vulnerabilidad, pero Microsoft teme que probablemente se desarrollarán ataques para versiones anteriores, como Windows XP.

Otros dos grupos de parches de especial importancia son MS10-077, que resuelve un problema en .Net Framework en sistemas de 64 bits, y MS10-075, que cubre una brecha en el servicio Microsoft Windows Media Player Network Sharing, utilizado por Windows para compartir archivos de música y otros ficheros multimedia sobre la red. Se trata de un servicio activado por defecto en Windows 7 Home Edition, pero los hackers deben conseguir introducirse en la red local del PC objetivo para poder explotar la vulnerabilidad.

BOLETIN DE SEGURIDAD DE MICROSOFT, OCTUBRE 2010

Desde Vulnerability Team exortamos a los usuarios y administradores revisar las notificaciones y aplicar las actualizaciones necesarias, para ayudar a mitigar los riesgos.

fuente: microsoft.com | csospain.es


0

Microsoft ha emitido una Notificacion Avanzada del Boletin de Seguridad indicando que su lanzamiento sera el martes 12 de Octubre y el mismo tendra 16 boletines

Cuatro de los boletines seran de nivel Crítico y serán para Microsoft Windows e Internet Explorer. Diez boletines tendrán el nivel de gravedad Importante y serán para Microsoft Server Software, Windows y Office. Los otros dos boletines tendrán nivel de gravedad Moderada y será para Microsoft Windows.
La liberación de estos boletines está programada para el Martes, 12 de octubre 2010.

Microsoft Security Bulletin Advance Notification for October 2010


fuente: microsoft.com | us-cert.org


0

Un estudio realizado con 20.263 webs maliciosas revela que Firefox, en comparación con Chrome, Internet Explorer y Opera, es el navegador que bloquea de forma más efectiva los intentos de fraude.

De un tiempo a esta parte los navegadores incluyen, entre sus mecanismos de protección, filtros para evitar que los usuarios visiten páginas webs peligrosas para su seguridad. Básicamente se trata de listas negras confeccionadas a partir de distintas fuentes que clasifican las páginas de phishing, scam, distribución de malware, exploits, etc. Si el usuario intenta navegar por alguna de esas páginas, reconocidas por el navegador como peligrosas, la bloquea y avisa al usuario.

El estudio ha evaluado el grado de protección que ofrecen los distintos navegadores al visitar las páginas webs clasificadas como maliciosas y recopiladas desde diferentes fuentes, destacando la extracción de links de los mensajes de spam y arañas webs.

De las 20.263 páginas webs maliciosas, los distintos navegadores protegieron al usuario en los siguientes casos:

* Chrome: 6.639 (32,76%)
* Firefox: 7.108 (35,08%)
* Internet Explorer: 5.114 (25,39%)
* Opera: 1.690 (8,34%)

De los resultados se extrae que Firefox es el navegador que logra un mayor número de bloqueos, seguido de cerca por Chrome, Internet Explorer en tercer lugar y por último, a una considerable distancia, Opera.

También destaca el bajo porcentaje de protección en general, aunque es comprensible ya que en un alto grado estos filtros son en su mayoría reactivos. Es decir, son más débiles en las primeras horas tras la activación y publicación de las webs maliciosas, precisamente cuando los atacantes logran un mayor número de víctimas.

TE PUEDE INTERESAR: Navegadores, seguridad y otras cosas

fuente: hispasec.com



Internet Explorer 9 ya esta aqui.

Posted: 16/9/10 by komz in Etiquetas: , ,
0

Microsoft presentó la última versión de su navegador, diciendo que trabaja más rápida, ofrece mejores gráficos y es menos molesto para los usuarios. Seguir leyendo el arículo Internet Explorer 9, a diferencia de versiones anteriores y de navegadores rivales, se queda en un segundo plano. Descarga la beta de Internet Explorer 9. Y un dato: Microsoft ha confirmado que la versión final no saldrá hasta 2011.

El impacto visual demuestra la eficiencia de su simplismo. Es cierto que han recortado botones, por ejemplo eliminando el botón Home o comprimiendo el espacio de la barra de direcciones con las pestañas. Eso da como resultado que, abriendo la misma página con varios navegadores, IE9 es el que más enseña.

Pero quizá la función más sorprendente es la capacidad para transformar cada página web en una especie de aplicación tan sólo colocándole una chincheta. Internet Explorer 9 reduce las pestañas y se empapa del logotipo y el color del diseño original para reducir el espacio que ocupan, colocándolas directamente en la barra de tareas, no en la de pestañas. De modo que, en lugar de abrir el navegador y dirigirse al sitio, los usuarios sólo tendrán que lanzar esta especie de aplicaciones y llegarán a la web, al estilo de los teléfonos móviles.

Gracias a HTML5 y a la aceleración por hardware, las páginas pueden ofrecer una presentación multimedia mucho más rica sin riesgo de ralentizaciones. Y lo que es más importante, tiene la capacidad de hacer sus pequeñas comunicaciones y alertas indicando, por ejemplo, un nuevo mensaje en la bandeja de entrada o la actualización de un catálogo.

Además, cada aplicación goza de más funciones que la navegación a las que se puede llegar sencillamente colocando el ratón encima del icono y esperando a que el listado se despliegue. Definitivamente la barra de favoritos tiene sus días contados.

"La gente va a la web del sitio, no el navegador", dijo Hachamovitch, director general de IE, en una rueda de prensa en San Francisco. "Hoy en día los sitios web están confinados, la caja el navegador".

IE9 está disponible en una versión de prueba, o beta pública, en más de 30 idiomas. Muchos de los sitios más populares del mundo, incluyendo Facebook, Amazon.com, CNN de Time Warner, eBay y Twitter tienen sitios que aprovechan las nuevas características de IE9.

El navegador se ha convertido en uno de los programas más importantes en un PC. A medida que la gente ve más vídeos y utiliza sitios como Facebook, Twitter y YouTube, los fabricantes de navegadores están haciendo sus últimas versiones más rápidas y mejores en la gestión de gráficos.

Microsoft promete una versión de su navegador más rápida, limpia y segura, que apoyará la evolución de las tecnologías Web, como HTML5, un lenguaje de programación para la presentación de contenido.

También está más estrechamente integrado con el motor de la empresa de búsqueda de Bing, que la empresa espera comenzará a rivalizar con el líder del mercado Google.

En el IE9, la representación de gráficos y texto se ha desplazado a la tarjeta gráfica de la CPU, acelerando la velocidad y los visuales. Como resultado, Microsoft dijo que los sitios se verán y se realizarán de forma más parecida a las aplicaciones que se instalan directamente en un PC.

El IE ha sido el líder del mercado durante muchos años, pero ha perdido cuota frente al Firefox de Mozilla y a Chrome de Google.

fuente: laflecha.net

0

Todos los navegadores más comúnmente utilizados son vulnerables a exploits que les hagan facilitar información personal de sus usuarios; una información que después puede ser utilizada para entrar en cuentas bancarias o abrir la entrada a otros ataques, según los expertos que participaron en la conferencia de seguridad Black Hat 2010.

“Ninguna de las herramientas con las que lo hemos demostrado resulta realmente difícil de desarrollar y utilizar”, aseguró Jeremiah Grossman, CTO de WhiteHat Security, quien impartió una sesión sobre el tema con el título de “Breaking browsers: Hacking Auto-Complete”.

Grossman explicó que sus exploits pueden forzar a los navegadores a proporcionar automáticamente la información almacenada en ellos; en concreto, en una funcionalidad conocida como “autorellenado” (auto-complete) y que está diseñada para facilitar la cumplimentación de cuestionarios sobre los sitios webs a los que los usuarios intentan acceder. Tal información incluye nombre, dirección, correo electrónico, términos frecuentes utilizados en las búsquedas y, en algunos casos, contraseñas empleadas para el acceso a diferentes tipos de sitios, como los de banca online.

La manera más segura de protegerse frente a este peligro es, según Grossman, desactivar la funcionalidad de autorellenado, aunque reconoció que algunas personas preferirán asumir el riesgo a cambio de la comodidad que tal capacidad ofrece.

Grossman realizó demostraciones de diferentes exploits desarrollados para distintos browsers y afirmó haber encontrado la manera de comprometer la funcionalidad de autorellenado en diferentes versiones de Internet Explorer (Incluidas IE 6 y 7), Safari, Chrome y Firefox.


fuente: csospain.es