Microsoft ha publicado una actualización para solucionar la grave vulnerabilidad dada a conocer el pasado 28 de diciembre, y confirmada por Microsoft el mismo día. Desde entonces permanecía sin parche y siendo explotada.
La vulnerabilidad permite la ejecución remota de código arbitrario a través de la visita a un sitio web especialmente diseñado. Para ello, aprovecha un fallo en la forma en la que Internet Explorer accede a un objeto en memoria que haya sido eliminado o incorrectamente asignado.
Afecta a las versiones 6, 7 y 8 de Internet Explorer en sistemas Windows de escritorio (XP, Vista y 7) y server (2003 y 2008). En el primer caso, el fallo ha sido calificado por Microsoft como crítico, mientras que en los sistemas de servidor lo es como moderado por el uso de Enhanced Security Configuration por defecto en estos sistemas (Internet Explorer, por defecto, se encuentra muy limitado en servidores). En cualquier caso, también permite la ejecución de código en ellos. Los sistemas con versiones 9 y 10 del navegador no son vulnerables.
El boletín MS13-008 llega poco más de dos semanas después de que el 0-day se hiciera público, y apenas una semana después del segundo martes del mes, día en el que Microsoft publica sus actualizaciones. Ya existía una contramedida, distribuida a través de un «Fix it» publicado el 31 de diciembre.En poco menos de seis meses, Microsoft ha publicado dos parches fuera de su ciclo habitual para solucionar sendas vulnerabilidades 0-day en su navegador. La última vez fue el pasado 21 de septiembre, cuando se solucionaban con un boletín cinco vulnerabilidades. Entre ellas la CVE-2012-4969, también un fallo de ejecución de código remoto que estaba siendo explotado activamente.
Más información:
Microsoft Security Bulletin MS13-008 – Critical
Ejecución de código arbitrario en Microsoft Internet Explorer 6, 7 y 8
Microsoft publica actualización fuera de ciclo para la vulnerabilidad de Internet Explorer
Francisco López
el tema de las vulnerabilidades sera afán de sacar nuevas versiones sin un análisis de fondo o algo premeditado?. Si; no hay nada infalible tecnológicamente, pero como sera cuando se difunda de manera natural Conectividad a los demás dispositivos Caseros. Porque los hackers las descubren primero. Como se ve que quieren figurar y reconocimiento pues aumentemos la cobertura de la propuesta de Google-Chrome paguemos MUY bien estos Magos para aumentar la Seguridad y el crecimiento de la Tecnología.