Ciberseguridad

Un investigador de seguridad divulgó públicamente detalles y exploraciones de prueba de concepto para dos vulnerabilidades Zero days no corregidas en los navegadores de Microsoft después de que la empresa supuestamente no respondió.

Ambas vulnerabilidades no corregidas -una de las cuales afecta a la versión más reciente de Microsoft Internet Explorer y otra afecta al navegador de borde más reciente- permiten a un atacante remoto omitir la política de origen en el explorador Web de la víctima.

La política de mismo origen (SOP) es una característica de seguridad implementada en navegadores modernos que restringe una página Web o un script cargado desde un origen para interactuar con un recurso de otro origen, impidiendo que los sitios no relacionados interfieran entre sí.

En otras palabras, si visita un sitio en su navegador, sólo podrá solicitar datos del mismo origen [dominio] del que se ha cargado el sitio, impidiéndole hacer cualquier solicitud no autorizada en su nombre para robar sus datos en otro sitio.

Sin embargo, las vulnerabilidades publicadas por el investigador de seguridad, de tan solo 20 años, James Lee, que compartió con el portal The Hacker News, pueden permitir que un sitio malicioso realice ataques UXSS (universal cross-site scripting) contra cualquier dominio visitado usando el vulnerable explorador de Microsoft.

Para explotar con éxito estas vulnerabilidades, todo lo que los invasores necesitan hacer es convencer a la víctima para abrir el sitio malintencionado [creado por el hacker], permitiendo que ellos roben datos confidenciales de la víctima, como sesión de login y cookies, de otros sitios visitados en el mismo navegador.

"El problema está en las entradas de tiempo de recursos en los exploradores de Microsoft que se filtran de forma inadecuada URL de origen cruzado después de la redirección", dijo James al portal The Hacker News en un correo electrónico.

El investigador contactó a Microsoft y compartió responsablemente su descubrimiento con la empresa hace diez meses, pero el gigante tecnológico ignoró los problemas y no respondió a la divulgación hasta la fecha, dejando las fallas sin corrección.

James ha lanzado exploits de prueba de concepto (PoC) para ambos problemas.

Las vulnerabilidades recientemente divulgadas son similares a las que Microsoft corrigió el año pasado en sus exploradores de Internet Explorer (CVE-2018-8351) y Edge (CVE-2018-8545).

Como los detalles y el PoC para ambos días cero ya se publicaron públicamente, los hackers no pasan mucho tiempo para explorar los fallos en el intento de segmentar a los usuarios de Microsoft.

Lo que es decepcionante es que actualmente no hay mucho que los usuarios puedan hacer para evitar este problema hasta que Microsoft corrija los problemas de seguridad. Una recomendación es utilizar otros navegadores que no se vean afectados por esta vulnerabilidad, como Chrome o Firefox.