dunanea
Residente
Por Angela Ruiz
[email protected]
Según publica Secunia, los dos fallos de seguridad encontrados en la versión para Windows del navegador Safari de Apple, son "altamente críticos".
La versión 3.1 del navegador fue liberada hace poco más de una semana, y además se ofrece su descarga e instalación casi de forma compulsiva, a usuarios de otros productos de Apple, como QuickTime e iTunes. Sobre este tema hicimos un comentario hace unos días (ver "Relacionados").
Veinticuatro horas después de ese artículo, nos hacíamos eco de un fallo en Safari que podía provocar una denegación de servicio.
Casi al mismo tiempo, se reveló una vulnerabilidad que afecta la barra de direcciones del programa, permitiendo a un delincuente llevar a cabo ataques de spoofing con direcciones falsas. Ambas vulnerabilidades fueron descubiertas por el investigador argentino Juan Pablo Lopez Yacubian.
Como el problema de la denegación de servicio se debe a una corrupción de la memoria utilizada por el programa, existen probabilidades de que la vulnerabilidad sea explotada para la ejecución de código. Sin embargo, Secunia no ha establecido que ello sea posible, ni tampoco lo confirma Yacubian.
De todos modos, para Secunia ambas vulnerabilidades son "muy críticas", según su aviso de seguridad.
El problema del spoofing, es un fallo ideal para ataques de phishing, ya que se puede suplantar la dirección web de un sitio conocido. El usuario puede creer que está ingresando a su banco, cuando en realidad accede a un sitio malicioso que le robará sus credenciales de acceso y datos de su tarjeta electrónica.
Si explotando la segunda vulnerabilidad se lograra ejecutar código, la simple visita a un sitio web podría instalar en el equipo de la víctima un keylogger o cualquier otro programa malicioso.
Sin embargo, la base de usuarios de Safari en todo el mundo es muy pequeña aún como para que "los malos" se decidan a explotar estos problemas a gran escala. Sin embargo el riesgo existe y es muy real.
Apple no ha comentado nada al respecto, y por lo tanto tampoco existen actualizaciones disponibles que corrijan el problema.
Por fortuna, en este caso al menos, no basta con tener instalado Safari para ser vulnerable. Hay que utilizar el navegador para ser víctima de los ataques mencionados.
Referencias:
Safari Address Bar Spoofing and Memory Corruption Vulnerabilities
Safari Address Bar Spoofing and Memory Corruption Vulnerabilities - Advisories - Secunia
Relacionados:
Denegación de servicio en Apple Safari 3.1
Denegación de servicio en Apple Safari 3.1
Instalación obligatoria de Safari. ¡Mala idea!
Instalación obligatoria de Safari. ¡Mala idea!
(c) Video Soft - Video Soft
(c) VSAntivirus - VSAntivirus
[email protected]
Según publica Secunia, los dos fallos de seguridad encontrados en la versión para Windows del navegador Safari de Apple, son "altamente críticos".
La versión 3.1 del navegador fue liberada hace poco más de una semana, y además se ofrece su descarga e instalación casi de forma compulsiva, a usuarios de otros productos de Apple, como QuickTime e iTunes. Sobre este tema hicimos un comentario hace unos días (ver "Relacionados").
Veinticuatro horas después de ese artículo, nos hacíamos eco de un fallo en Safari que podía provocar una denegación de servicio.
Casi al mismo tiempo, se reveló una vulnerabilidad que afecta la barra de direcciones del programa, permitiendo a un delincuente llevar a cabo ataques de spoofing con direcciones falsas. Ambas vulnerabilidades fueron descubiertas por el investigador argentino Juan Pablo Lopez Yacubian.
Como el problema de la denegación de servicio se debe a una corrupción de la memoria utilizada por el programa, existen probabilidades de que la vulnerabilidad sea explotada para la ejecución de código. Sin embargo, Secunia no ha establecido que ello sea posible, ni tampoco lo confirma Yacubian.
De todos modos, para Secunia ambas vulnerabilidades son "muy críticas", según su aviso de seguridad.
El problema del spoofing, es un fallo ideal para ataques de phishing, ya que se puede suplantar la dirección web de un sitio conocido. El usuario puede creer que está ingresando a su banco, cuando en realidad accede a un sitio malicioso que le robará sus credenciales de acceso y datos de su tarjeta electrónica.
Si explotando la segunda vulnerabilidad se lograra ejecutar código, la simple visita a un sitio web podría instalar en el equipo de la víctima un keylogger o cualquier otro programa malicioso.
Sin embargo, la base de usuarios de Safari en todo el mundo es muy pequeña aún como para que "los malos" se decidan a explotar estos problemas a gran escala. Sin embargo el riesgo existe y es muy real.
Apple no ha comentado nada al respecto, y por lo tanto tampoco existen actualizaciones disponibles que corrijan el problema.
Por fortuna, en este caso al menos, no basta con tener instalado Safari para ser vulnerable. Hay que utilizar el navegador para ser víctima de los ataques mencionados.
Referencias:
Safari Address Bar Spoofing and Memory Corruption Vulnerabilities
Safari Address Bar Spoofing and Memory Corruption Vulnerabilities - Advisories - Secunia
Relacionados:
Denegación de servicio en Apple Safari 3.1
Denegación de servicio en Apple Safari 3.1
Instalación obligatoria de Safari. ¡Mala idea!
Instalación obligatoria de Safari. ¡Mala idea!
(c) Video Soft - Video Soft
(c) VSAntivirus - VSAntivirus