1 2 3 4 5 6

Notas RSS PDF

Coordinación de Seguridad de la Información - UNAM-CERT -- DGTIC-UNAM

Nota de Seguridad UNAM-CERT-2005-001 Ejecución de código arbitrario en Internet Explorer

Microsoft Internet Explorer contiene una falla en la manera en que maneja las peticiones del objeto window() con lo que permite la ejecución de código arbitrario a un intruso remoto.

  • Fecha de Liberación: 22-Nov-2005
  • Ultima Revisión: 22-Nov-2005
  • Fuente: CERT/CC y diversos reportes de Equipos de Respuesta a Incidentes, así como Foros y Listas de Discusión.
  • Riesgo Crítico
  • Problema de Vulnerabilidad Remoto
  • Tipo de Vulnerabilidad Ejecución remota de código

Sistemas Afectados

Windows 2000 Server SP4 Microsoft Internet Explorer <= 6.0
Windows XP Service Pack 2 Microsoft Internet Explorer <= 6.0
  1. Descripción

    Microsoft Internet Explorer no maneja de manera apropiada las peticiones al objeto window(). Cuando un documento HTML hace referencia al objeto window() tratándose especialmente de un documento mal formado, Internet Explorer puede corromperse de manera que un intruso prodría ejecutar código arbitrario y obtener una terminal remota.
    Nota: La prueba del código ya está disponible publicamente.

  2. Impacto

    Si un usuario visita un sitio Web malicioso, el intruso puede ser capaz de ejecutar código arbitrario con los privilegios de ese usuario. El intruso puede también causar que IE se corrompa.

  3. Solución

    Deshabilitar Active Scripting en la zona de Internet para prevenir la explotación de esta vulnerabilidad. Las instrucciones para deshabilitar esta propiedad pueden ser consultadas en: Microsoft Security Advisory 911302.

  4. Apéndice

    Microsoft Internet Explorer vulnerable to code execution via scripting "window()" object.

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

  • Luis Fernando Fuentes Serrano (lfuentes at seguridad dot unam dot mx)
  • Floriberto López Velázquez (flopez at seguridad dot unam dot mx)
  • Jesús Ramón Jiménez Rojas (jrojas at seguridad dot unam dot mx)

UNAM-CERT
Equipo de Respuesta a Incidentes UNAM
Coordinación de Seguridad de la Información

incidentes at seguridad.unam.mx
phishing at seguridad.unam.mx
http://www.cert.org.mx
http://www.seguridad.unam.mx
ftp://ftp.seguridad.unam.mx
Tel: 56 22 81 69
Fax: 56 22 80 47


Universidad Nacional Autonoma de México Aviso legal |  Créditos |  Staff |  Administración
Copyright © Todos los derechos reservados
UNAM - CERT