'Frame Injection' en múltiples navegadores

en Noticias de Seguridad Informatica
TU PANEL DE CONTROL:
REGISTRAR
Wilkinsonpc Tienda Productos Servicios Recursos Gratuitos - Gratis Soporte Comunidad
Foros Qubitaria Ayuda de los Foros
Retroceder   Foros Comunidad : Noticias de Actualidad : Noticias de Seguridad Informatica
Noticias de Seguridad Informatica Noticias de Seguridad Informatica Todas las Noticias de Seguridad Informatica. Alertas y fallos de seguridad.

'Frame Injection' en múltiples navegadores

Compartir

El 30 de junio de 2004 se hizo pública una vulnerabilidad existente en múltiples navegadores, incluido Internet Explorer. El fallo era muy similar a otro que en ese entonces tenía 6 años de descubierto y solucionado.

Un año después, en junio de 2005, Secunia anuncia que dicho fallo ha vuelto a aparecer en Mozilla y Firefox. Sin embargo, estos no son los únicos que parecen vulnerables. También Internet Explorer, incluido SP2 con todos los parches, parece ser aún hoy propenso a sufrir este problema.

La vulnerabilidad permite que usuarios maliciosos puedan falsificar el contenido de un website.

Según Secunia.com, serían vulnerables los siguientes navegadores:
Mozilla 1.7.x
Mozilla Firefox 1.x
Camino 0.x

Según nuestras pruebas, también serían vulnerables los siguientes productos:

Internet Explorer 6 (incluido SP2)
Internet Explorer 5.x
Internet Explorer 5.x para Mac (sin comprobar)

El problema se produce porque el navegador falla al intentar impedir que un sitio web malicioso cargue contenido en un marco al azar de otra ventana. Un ejemplo que permite mostrar contenido arbitrario de windowsupdate.microsoft.com, ha sido publicado por Secunia.

Si usted desea comprobar si su browser es vulnerable, siga estos pasos:

1. Haga clic sobre este enlace que representa un sitio de confianza. En el ejemplo se ha seleccionado la red para desarrolladores de Microsoft, Microsoft Developer Network (MSDN):

http://msdn.microsoft.com/library/default.asp

2. Una nueva ventana del navegador se abrirá en su escritorio. No la toque, déjela tal cuál se muestra y seleccione nuevamente la ventana que contiene la página en que está leyendo estas instrucciones.

NOTA PARA USUARIOS DE OPERA. Para que este ejemplo funcione el Opera, el navegador debe identificarse (User Agent) como "Mozilla" o "Internet Explorer" (en opciones rápidas del navegador hay que seleccionar MSIE 6.0 o Mozilla). Esto es debido a que "msdn.microsoft.com" no devuelve el mismo contenido si Opera se identifica como él mismo.

3. Haga clic en el siguiente enlace, en donde se ejecutará el código de demostración que intentará inyectar código en uno de los marcos de la pantalla abierta en el punto 1 (esta prueba es inofensiva para su sistema):

http://secunia.com/demonstration_page/

4. Aunque puede parecer que no ha ocurrido nada, si ahora selecciona la ventana que quedó abierta en el punto 1, en uno de los marcos de la misma debería visualizarse una página de Secunia si su browser es vulnerable (ver nota anterior sobre Opera).

Según Secunia, este exploit puede hacerse en forma automática, aunque en esta demostración se ha preferido no hacerlo así por razones obvias.

El siguiente es el enlace original para esta demostración (en inglés):
http://secunia.com/multiple_browsers...rability_test/

Este tipo de vulnerabilidad recibe el nombre de "Frame Injection", porque habilita la inyección de código no autorizado en un marco (o frame) de una página Web.

Una explotación exitosa de esta vulnerabilidad puede permitir a un sitio malicioso cargar páginas u otro código similar, que para el usuario formarían parte de un sitio confiable.

Esto podría ser utilizado para la falsificación de sitios verdaderos (spoofing), engañando al usuario para que ingrese datos críticos en formularios falsos.

La recomendación es no seguir enlaces sospechosos, y muchos menos aquellos existentes en mensajes de correo electrónico no solicitado.

Tampoco abrir ventanas o enlaces con sitios no confiables, mientras se navega por un sitio seguro, y jamás aceptar ingresar ninguna clase de datos, en sitios a los que se haya accedido mediante un enlace sugerido en un correo electrónico.


Más información:

Publicado en:
http://secunia.com/advisories/11978/


Referencias:

- Referencias en "Common Vulnerabilities and Exposures project" (cve.mitre.org):

CAN-2004-0718
http://www.cve.mitre.org/cgi-bin/cve...=CAN-2004-0718

CAN-2004-0719
http://www.cve.mitre.org/cgi-bin/cve...=CAN-2004-0719

- Referencias en Secunia:

Mozilla / Mozilla Firefox Frame Injection Vulnerability
SA15601 - http://secunia.com/advisories/15601/

Camino Frame Injection Vulnerability
SA15602 - http://secunia.com/advisories/15602/

Multiple Browsers Frame Injection Vulnerability
SA11978 - http://secunia.com/advisories/11978/

Internet Explorer Frame Injection Vulnerability
SA11966 - http://secunia.com/advisories/11966/

Descubierto por Mark Laurence
Ejemplos de http-equiv (malware .com)
Reportado en Mozilla por Gary McKay
Reportado en Firefox por Brainsoft

Otras referencias:
http://www.microsoft.com/technet/sec.../ms98-020.mspx
Compartir
  #1  
Creado: 08-Jun-2005, a las 16:15 Vistas: 662
Categoria: Noticias de Seguridad Informatica
Creado por: W-Bot W-Bot está desconectado (18-February-2005 | Colombia | 5.563 Mensajes.)
Respuesta

Etiquetas
frame, injection, multiples, navegadores


Temas Similares
» La reconversión de los navegadores GPS 0
» La reconversión de los navegadores GPS 0
» Problemas con los navegadores 4
» Múltiples navegadores vulnerables a ataques XSS 0
» Error de filtrado de scripts en múltiples navegadores 0
» Manejo incorrecto de cookies en múltiples navegadores 0
» Spoofing de cuadro de diálogo en múltiples navegadores 0
» Vulnerabilidad 'Frame Injection' en Internet Explorer 0
» SQL Injection en PostNuke 0


Herramientas Buscar en Tema
Buscar en Tema:

Búsqueda Avanzada
Desplegado

Ir al Foro


» ComuniDAD
Inicio
Noticias de Actualidad
Apuntes, Monografias y Tareas
Telefonia, Celulares, TV, GPS, ISP, PDA
Programas Windows, Mac, Linux, etc.
Hardware, Electronica y Redes
Diseño Web y Programacion
Internet y Grandes Portales
Juegos, Consolas y Emuladores
Multimedia, Diseño y Animaciones
Peliculas, Series, Musica, Trailers, Videos, Parodias
Seguridad y Spyware
Salud, Bienestar, Familia y Esparcimiento
Economia, Negocios y Asuntos Legales
Hoteles, Viajes y Turismo
Mundo a Motor [Motos, Autos, etc]
Foros Generales (OFF TOPIC)
Calendario de Eventos
Administracion ComuniDAD



Ultimos Temas


La franja horaria es GMT -5. Ahora son las 16:53.


2010 ©
Powered by : vBulletin® Versión 3.8.8 Copyright ©2000 - 2019, Jelsoft Enterprises Ltd.
SEO by vBSEO 3.2.0
Sitemap 1 - Sitemap 2 - Sitemap 3 - Sitemap 4