Hola,
Cuando por primera vez lo leí, hace ya días, pensé “bueno.. uno más”, pero este bug está dando mucho que hablar.
En primer lugar anunciaron que sólo afectaba a IE7, la vulnerabilidad salió a la luz en un foro chino un día antes del segundo martes de diciembre (que pillos!, los segundos martes de cada mes es cuando m$ distribuye los parches de actualizaciones, dejandoles literalmente en bragas), el problema se complicó muchísimo al notificar un investigador de seguridad danés que la vulnerbailidad se extendía a todas las versiones de Internet Explorer y afecta a todos los sistemas operativos Windows. Este fallo, que reside en el manejo de etiquetas XML, permite ejecutar código arbitrario en la máquina remotamente sin intervención alguna por parte del usuario, sólo es necesario que se visite una página web con Internet Explorer para que el malware sea instalado en la máquina.
Microsoft recomendaba deshabilitar el fichero Oledb32.dll para permanecer seguro (así como no navegar como administrador) y tener actualizados los antivirus, anti-spyware, activado firewall, etc… ‘lo qué? ‘ Es decir,… como saben que puede entrar cualquier virus o similar y no son capaces de evitarlo, actualiza el antivirus y agarrese quien pueda… no creo que sea una medida decente, aún te quedan ganas de seguir usando IE? sigue leyendo…
Además, anunciaron que había un bajo riesgo de infectarse, a pesar de la gran fauna de malware que está aprovechando esta vulnerabilidad y está actualmente in the wild, alegando que un número muy bajo de páginas web estaban infectando máquinas y que había un porcentaje muy bajo de infectarse… viva!! juguemos a la ruleta rusa! No es de recibo… Cuando se sabe a ciencia cierta que hay más de dos millones de máquinas infectadas debido a esta vulnerabilidad y más de 10.000 páginas web con el código javascript malicioso… ejem!
Por todo esto las empresas de seguridad han recomentado la instalación y uso de otros navegadores, como Firefox, Opera, Safari o Chrome, por lo que por fin hoy, deciden sacar el parche fuera de ciclo (como era de esperar), aunque ha dejado como semana y media para que cualquiera lo explote siendo publico (viva el full-disclosure!). En theinquirer comentan sobre el lanzamiento del parche “El mismo será distribuido desde Windows Update, Microsoft Update y Windows Server Update Services (WSUS), para usuarios de Windows 2000, XP, Vista, Server 2003 y Server 2008. El parche debe corregir la vulnerabilidad en IE5.01, IE6 e IE7. Para IE8, actualmente en fase beta, la corrección llegará posteriormente ya que no ha sido incluido en la lista de navegadores soportados.”
Vamos, a cualquiera le puede pasar, no existe software 100% seguro, no existe aún técnica o manual que pueda certificarlo, pero hay maneras y maneras… y cuando ha pasado ya muchas veces (ya no sólo a nivel de navegador, sino de sistema…. recordemos el blaster, sasser, y los ya más recientes MS08-67, MS08-68…), es hora de plantearse que software usas teniendo en cuenta que mucha gente, un porcentaje muy alto del tiempo que pasa ante una máquina es con el navegador abierto.
Se puede aprender algo de todo esto, siempre se aprende algo de los errores, podemos seguir varios consejos como no navegar con un usuario con privilegios que no necesite (nunca como adminsitrador), tener un sistema de protección para el sistema y la red…, hay gente que no sigue ninguno de ellos e incluso nunca sabrá que existió este fallo.
Personalmente recomendaría un navegador que me ofrezca cierta garantía de calidad/seguridad, yo apuesto por Firefox y Opera, tu por cuál apuestas?
Desde el Sans ISC nos avisan del lanzamiento del parche MS08-078, y recalcan que no sustituye al MS08-073 de principios de mes, ambos son necesarios para hacer a IE “seguro”
Feliz upgrade a la gente que siga usando IE, recordar es imprescindible actualizarlo, y también podeis replantearos si sería conveniente cambiar de navegador. Un dato curioso es que durante este proceso según un estudio la cuota del IE ha bajado al 70%, siendo tan fácil descargar e instalar un navegador, y lo poco traumático que es ya que te importan los marcadores y demás.
Es hora de reflexionar!
Referencias (en este enlace podeis encontrar información técnica y muchas otras referencias):
NIST IT Security: Internet Explorer XML Exploit Allows Remote Code Execution
2 replies on “Internet Explorer: Critical Microsoft Security Bulletin MS08-078”
¿Por cual apuesto? por iceweasel(firefox), cualquiera basado en gecko o konqueror, por el resto no, aún habiendo fantásticos navegadores como opera, por el simple hecho de que no son libres, lástima.
Hola!,
Estoy contigo… entre el aspecto que estaba evaluando, (la seguridad), los que considero más seguros son Firefox y Opera (frente a Chrome, Safari o Internet Explorer).
Pero ya jugando con estos dos… obviamente el modelo de licencia de Opera no me gusta, además la política de mostrar banners con anuncios y demás no va conmigo… teniendo Firefox (iceweasel) con tri-licencia GPL/MPL/LGPL.
Si tuviera que recomendar sólo uno, seguro, sería el que uso, Firefox.
Saludos!