Multiplas Vulnerabilidades no Internet Explorer

Cinco vulnerabilidades, altamente críticas, foram descobertas.

[ ACEM ALERTA]
+ *ALERTA* No. 20051221.01
+ Assunto: Múltiplas Vulnerabilidades no Internet Explorer

09:20:00 GMT-03 (BRT) Registro dos analistas de plantão (Jorge Luiz Corrêa):
DESCRIÇÃO:
Cinco vulnerabilidades foram descobertas no Microsoft Internet Explorer sendo classificadas como **altamente críticas**. Essas vulnerabilidades caracterizam-se por causar “Security Bypass” (métodos capazes de burlar/ultrapassar a segurança de um sistema), exposição de informações sensíveis e acesso ao sistema. Podem ser exploradas por pessoas maliciosas a fim de obter informações sensíveis do usuário do sistema afetado, para enganar usuários levando-os a baixarem e executarem programas arbitrários ou comprometer o sistema
final.

1) Um erro de projeto no processamento de atalhos de teclado para certos diálogos de segurança pode ser explorado para atrasar a janela de ‘download’ do navegador, levando o usuário a executar um arquivo malicioso do
tipo “.bat” após pressionar a tecla “r”.

2) Um erro de projeto no processamento de cliques do mouse em novas janelas do navegador e a possibilidade de prever a posição das janelas de ‘download’ de arquivos podem ser explorados para iludir o usuário que clicará em um botão “RUN” da nova janela. Isto é explorado da forma que, uma janela de ‘download’ é disfarçada atrás de uma nova janela do navegador, iludindo o usuário a clicar em um área específica desta nova janela, o que levará a ativar o batão “RUN” da janela disfarçada.

3) Erro existente no Internet Explorer quando utilizado com um servidor proxy HTTPS que necessita autenticação básica do cliente. Endereços enviados pelo Internet Explorer podem ser distribuídos a terceiros sempre que uma nova conexão é usada.

4) Erro existente quando certos objetos do tipo COM, cujo uso não é pretendido pelo Internet Explorer, são instanciados pelo navegador. Pode ser explorado para execução de código arbitrário em páginas web maliciosas que instanciam objetos COM vulneráveis.

5) Erro existente na inicialização de certos objetos quando a função “window()” é utilizada em conjunto com o evento “”. Pode ser explorado para execução de códigos arbitrários em páginas web maliciosas.

VERSÕES AFETADAS:

Microsoft Internet Explorer 6.x
Microsoft Internet Explorer 5.5
Microsoft Internet Explorer 5.01

As vulnerabilidades 1), 2) e 5) foram confirmadas em sistemas completamente atualizados com os patches do Internet Explorer 6.0 e Microsoft Windows XP SP2. Outras versões também podem ser afetadas.

SOLUÇÃO:
Aplicar os patches do fabricante.

Internet Explorer 5.01 SP 4 no Microsoft Windows 2000 (requer SP 4):
http://www.microsoft.com/downloads/details.aspx?FamilyId=4005B74A-D6E6-4A32-A3B1-276686B4A428

Internet Explorer 6 SP 1 no Microsoft Windows 2000 (requer SP 4) ou no Microsoft Windows XP (requer SP 1):
http://www.microsoft.com/downloads/details.aspx?FamilyId=A8443CD2-D98D-427B-9F0E-BD7E19FCB994

Internet Explorer 6 para Microsoft Windows XP (requer SP 2):
http://www.microsoft.com/downloads/details.aspx?FamilyId=E4B5BA57-D4F2-4798-9154-2869E371C9D1

Internet Explorer 6 para Microsoft Windows Server 2003 (com ou sem SP 1):
http://www.microsoft.com/downloads/details.aspx?FamilyId=9D70FB20-C7C9-43AF-A864-6DBC9A542CC6

Internet Explorer 6 para Microsoft Windows Server 2003 (Itanium) (com ou sem SP 1):
http://www.microsoft.com/downloads/details.aspx?FamilyId=1EE790B9-E596-4344-AEC3-FCB3289D7E9C

Internet Explorer 6 para Microsoft Windows Server 2003 x64 Edition:
http://www.microsoft.com/downloads/details.aspx?FamilyId=8E9C23E5-7988-42DA-A8BD-2C1A534BF995

Internet Explorer 6 para Microsoft Windows XP Professional x64 Edition:
http://www.microsoft.com/downloads/details.aspx?FamilyId=E1652B4A-6339-4B31-8ACF-D2A844C24F70

REFERÊNCIAS (em Inglês):

1. SA15368 – Microsoft Internet Explorer Multiple Vulnerabilities
http://secunia.com/advisories/15368/

2. Microsoft Internet Explorer 5.01 Vulnerability Report
http://secunia.com/product/9/

3. Microsoft Internet Explorer 5.5 Vulnerability Report
http://secunia.com/product/10/

4. Microsoft Internet Explorer 6.x Vulnerability Report
http://secunia.com/product/11/

Jorge Luiz

Deixe um comentário