UNAM-CERT

Sistemas Afectados

Windows 2000 Server SP4	Microsoft Internet Explorer	<=	6.0
Windows XP Service Pack 2	Microsoft Internet Explorer	<=	6.0

1. Descripción

   Microsoft Internet Explorer no maneja de manera apropiada las peticiones al objeto window(). Cuando un documento HTML hace referencia al objeto window() tratándose especialmente de un documento mal formado, Internet Explorer puede corromperse de manera que un intruso prodría ejecutar código arbitrario y obtener una terminal remota.
   Nota: La prueba del código ya está disponible publicamente.

2. Impacto

   Si un usuario visita un sitio Web malicioso, el intruso puede ser capaz de ejecutar código arbitrario con los privilegios de ese usuario. El intruso puede también causar que IE se corrompa.

3. Solución

   Deshabilitar Active Scripting en la zona de Internet para prevenir la explotación de esta vulnerabilidad. Las instrucciones para deshabilitar esta propiedad pueden ser consultadas en: Microsoft Security Advisory 911302.

4. Apéndice

   Microsoft Internet Explorer vulnerable to code execution via scripting "window()" object.

El Departamento de Seguridad en Cómputo/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Floriberto López Velázquez (flopez at seguridad dot unam dot mx)
• Jesús Ramón Jiménez Rojas (jrojas at seguridad dot unam dot mx)
• Luis Fernando Fuentes Serrano (lfuentes at seguridad dot unam dot mx)