Apenas unos días después del lanzamiento del nuevo navegador de
Microsoft, no cesan las alarmas sobre nuevas vulnerabilidades en
su seguridad. Desde los agujeros de Cuartango, que reaparecen en
esta versión, hasta un nuevo fallo descubierto por Guninski que
permite leer y enviar ficheros locales a un servidor remoto. Por
último, hemos podido comprobar que durante la instalación se
modifican las propiedades en el salvapantallas, lo que podría
acarrear problemas en la seguridad a nivel local en determinadas
configuraciones.
Después de lanzar el asistente de instalación del Internet
Explorer 5, tanto en su versión Windows 95/98 y NT, el salvapantallas
queda desactivado. En la pestaña de protector dentro de las
propiedades de pantalla queda seleccionado «ninguno». Junto con
la deshabilitación del protector de pantalla IE5 también paraliza
el servicio de Planificador de Tareas.
Este hecho puede suponer un problema local cuando el salvapantallas
se utiliza como defensa con password para restringir el acceso al
escritorio. En estos casos el sistema de contraseña desaparece junto
con el protector al iniciarse la instalación, y no se restaura hasta
que se reinicia el sistema.
Todo parece indicar que IE5 realiza estas operaciones para que el
sistema no consuma recursos que pudieran enlentecer la instalación.
Podrían haberse evitado estos riesgos en la seguridad informando al
usuario de las acciones que lleva a cabo el programa de instalación,
de forma que se pudieran tomar las precauciones oportunas.
Otros problemas al instalar IE5 vienen dados porque en algunas
opciones no se guarda la configuración que pudiéramos tener en la
antigua versión del Explorador de Microsoft. Así ocurre con las
cookies, donde tendremos activada la opción de permitir que las
cookies se almacenen en el equipo, de manera independiente de que
en la configuración que tuviéramos anteriormente estuviera
desactivada.
Georgi Guninski, famoso por sus bugs en Communicator, se ha pasado
esta vez al navegador de Microsoft, como demuestra su último
descubrimiento. Guninski ha encontrado un fallo en el Internet
Explorer 5.0 que permite leer y enviar ficheros locales a un
servidor remoto. El problema viene por un fallo de funcionamiento
en el control de edición en DHTML, que permite pegar un nombre de
fichero en el objeto FILE. Puede encontrarse una demostración en
línea de este bug en: http://www.nat.bg/~joro/fr.html
Más información:
HispaSec: Problemas en los nuevos navegadores
Guninski
Cuartango
Deja una respuesta