Una vulnerabilidad descubierta en versiones actualizadas de Internet Explorer permite a los atacantes robar las credenciales de login e inyectar software malicioso en las sesiones de navegación. Los empleados de Microsoft han dicho que están trabajando para solucionarlo, y que afecta a las versiones de Internet Explorer 11 para Windows 7 y 8.1.

La vulnerabilidad es un bug del tipo XSS, y permite a los atacantes hacer una derivación sobre la política del mismo origen, que resulta de vital importancia en los modelos de aplicación web para impedir el acceso o modificación de las cookies del navegador u otros contenidos de cualquier sitio web. Una prueba de concepto sobre cómo explotar este bug ha sido publicado algunos días atrás, mostrando cómo los sitios web pueden violar esta regla cuando la gente usa versiones actualizadas y parcheadas de Internet Explorer.

Al tener los hackers a su alcance las cookies en el navegador, estos pueden tener acceso a todos los sitios donde el usuario haya accedido con usuario y contraseña, teniendo vía libre para hacer todo tipo de fechorías imaginables, incluido el robo de datos tan sensibles como el de una tarjeta de crédito.

Sin embargo para ser explotado el bug necesita de un señuelo para llevar al usuarios a un sitio malicioso, por ejemplo mediante phishing. Una vez haya picado el usuario, la página explota el bug a través de iframes que se entrometen en la política del mismo origen de Internet Explorer.

Por su parte Microsoft insiste en que SmartScreen puede ayudar a protegerse contra el phishing y recomienda no hacer clic sobre ningún enlace sospechoso.

Fuente | ArsTechnica

http://www.muycomputer.com/2015/02/04/bug-internet-explorer-credenciales-usuario