Error crítico de día cero abre agujeros en IE 6 y 7

Una amenaza recientemente descubierta que todavía no tiene ningún parche puede permitir un ataque basado en la web contra navegadores actualizados de Internet Explorer 6 y 7, según las compañías de seguridad.

Ambos Symantec y Vupen Security ha publicado alertas sobre el error, que implica la forma en que IE maneja las hojas de estilo en cascada, o CSS. Según las publicaciones, explorar un sitio web con código de ataque incrustado desencadenaría el asalto. El sitio podría ser un sitio malicioso creado específicamente, o uno que fue secuestrado e REPLACEado el código de ataque.

Según la publicación de Vupen, la falla afecta tanto al IE 6 como a la versión 7 en una computadora XP SP3 totalmente parcheada y podría permitir el funcionamiento cualquier comando en un sistema vulnerable, como la instalación de malware. Todavía no hay informes de ataques activos, pero el código de explotación está públicamente disponible.

[Más información: cómo eliminar el malware de su PC con Windows]

La publicación de Symantec dice que sus pruebas confirman que el exploit publicado funciona, pero que "muestra signos de poca fiabilidad", es decir. no siempre funciona Un correo electrónico adicional de Symantec dice que Vista también se ve afectada, pero Microsoft aún no ha confirmado la vulnerabilidad.

Los días cero que afectan a IE suelen ser amenazas importantes, por lo que es probable que los atacantes comiencen a ocultar los ataques que tienen como objetivo este error. sitios web comprometidos y correos electrónicos y comentarios en línea con enlaces a sitios que contienen ataques.

Según Vupen, deshabilitar el Active Scripting en Internet y las zonas de seguridad de Intranet local bloqueará los ataques contra este error, pero al hacerlo, probablemente bloquee la funcionalidad del sitio web también. Los informes actuales no muestran IE 8 como vulnerable, pero Symantec advierte que "hay posibilidades de que otras versiones de IE y Windows también se vean afectadas". Su mejor opción puede ser usar un navegador alternativo como Firefox hasta que haya un parche disponible.

Actualización (1:55 pm) : Microsoft ha confirmado que la vulnerabilidad afecta a IE 6 e IE 7, pero no a IE 8. La compañía dice que actualmente no tiene conocimiento de ningún ataque existente contra la falla, y puede decidir lanzar un parche fuera de banda una vez que haya terminado su investigación.