Fuente: SearchSecurity.com

Microsoft publicó un parche de emergencia el día de hoy bloqueando los recientes ataques contra las redes corporativas que han estado aprovechando una vulnerabilidad en Internet Explorer 6.

La actualización crítica, MS10-002, corrige ocho vulnerabilidades. Bloquea el código de explotación disponible públicamente que ataca una vulnerabilidad de día cero que se cree fue utilizada en los recientes ataques en contra de Google, Adobe Systems Inc., y otras 30 empresas. Los ataques fueron dirigidos a los usuarios de Internet Explorer 6 en Windows XP. La actualización afecta a todas las versiones soportadas de Internet Explorer.

“Microsoft continúa viendo ataques limitados y enfocados contra Internet Explorer 6 solamente”, dijo Jerry Bryant, director del programa de seguridad de Microsoft. “Microsoft recomienda a los clientes aplicar esta actualización de seguridad tan pronto como sea posible para protegerse contra los ataques conocidos.”

Internet Explorer contiene una variedad de vulnerabilidades de corrupción de memoria que podría ser aprovechada por un atacante que engaña a los usuarios a visitar una página Web maliciosa. El gigante del software dijo que también corrigió un error en el manejo de la validación de URL, lo que podría ser aprovechado por un atacante mediante un URL malicioso. Una vulnerabilidad de bypass al filtro de cross-site-scripting en Internet Explorer 8, que podría permitir la ejecución de scripts deshabilitados, resultando en divulgación de información.

Microsoft dijo que todas las vulnerabilidades pueden resultar en revelación de información o bien permitir a un atacante tomar el control completo de un sistema, instalar programas, ver, cambiar o eliminar datos.

En su aviso de seguridad, Microsoft dijo que la falla utilizada en una serie de ataques contra las redes de las empresas era una referencia a un puntero no válido en Internet Explorer resultando en una condición de corrupción de memoria cuando el código de explotación intenta forzar al navegador a que acceda a un objeto liberado.

Los expertos en seguridad dijeron que la última serie de ataques contra las redes corporativas no muestra nuevos métodos y poca sofisticación. Los ataques de esta naturaleza han estado ocurriendo durante años y son un recordatorio de que las empresas deben adoptar un enfoque de defensa en profundidad y no basarse únicamente en una tecnología de seguridad específica, dijo el experto en seguridad de software Roger Thornton, fundador y director de tecnología del proveedor de seguridad de software Fortify Software Inc. Si bien es casi imposible proteger toda la red corporativa de los ataques, las herramientas están disponibles para que sea más difícil para los cibercriminales, dijo Thornton.

“Si dirigiera una organización de delito informático y quisiera entrar en su compañía, Microsoft Internet Explorer sería un vector que exploraría”, dijo Thornton. “Es una gran pieza de código, Microsoft sólo tiene que cometer un error y puedo entrar”.

La mayoría de los atacantes están eligiendo vulnerabilidades de los navegadores, problemas en las aplicaciones ampliamente utilizadas como Flash, Adobe Reader y Acrobat PDF, otras interfaces Web y, finalmente, los errores de sistema operativo, dijo Thornton. Los atacantes están mejorando también los ataques a las personas mediante tácticas avanzadas de ingeniería social. La mayoría de la gente utiliza una cuenta de redes sociales y la información está ampliamente disponible, lo que ayuda a los ciberdelincuentes a crear mensajes convincentes diseñados para engañar a los usuarios a visitar un sitio o descargar un archivo.

“Todos los países del mundo van a tener algún interés real de conocer nuestros secretos y no culpo a los chinos o a quien sea de tratar de obtener esos secretos”, dijo Thornton. “Me molesta cuando este tipo de vulnerabilidades le suceden a Microsoft porque realmente están trabajando en el problema, pero algunas cosas se están escapando”.