La compañía Secunia, especializada en dar a conocer problemas de seguridad, acaba de hacer pública una importante vulnerabilidad que afecta a varios navegadores y permite insertar código ajeno en cualquier página de confianza que visite la víctima.
La vulnerabilidad permite que aunque un usuario se dirija a un dominio conocido y de confianza, si ese dominio utiliza macros, (zonas funcionales diferenciadas en las páginas) éstos puedan ser sustituidos por los de un atacante. Si se introdujeran datos personales, las contraseñas podrían acabar en manos del atacante y no del portal legítimo.
MÁS INFORMACIÓN
- Condenado a dos años de cárcel por primera vez un cracker en España
- Despedido por culpa de un virus en la mensajería instantánea
- Ordenadores esclavizados por los virus son alquilados para enviar 'spam' o atacar páginas 'web'
- Detectado en Internet un intento de estafa a los clientes de Banesto
- El padre de Netscape cree que Firefox ha reabierto la guerra de los navegadores
- Cinco millones de personas usan ya el navegador gratuito Firefox
El fallo es conocido como "inyección de macros" y es una variable de la vulnerabilidad encontrada en 1998 en Internet Explorer, ya arreglada en su día en las versiones 3 y 4 del navegador. Hoy, ligeramente modificada, es aplicable a Internet Explorer 6 con todos los parches de seguridad publicados, todas las versiones de Opera, Netscape, Mozilla y Mozilla Firefox, Internet Explorer para Macintosh, Safari y Konqueror, lo que prácticamente abarca todas las alternativas de navegadores existentes para todas las plataformas.
No existe solución efectiva por ahora a no ser que se extreme la configuración de seguridad en el navegador, lo que puede derivar en una incómoda situación en la que muchas páginas no se carguen correctamente. También se recomienda no visitar páginas sospechosas mientras se visitan otras confiables, pues pueden activar la inyección remota de macros y modificar el aspecto de la página en la que se confía.
Es probable que esta vulnerabilidad eleve aún más la cantidad de intentos de robo de contraseñas de banca on-line a los que hemos asistido en los últimos meses y que se ha dado a conocer con el nombre de "phishing".