Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
 

Busque su tema:

VSantivirus  Internet
Proporcionado por FreeFind

Video Soft BBS
Menú Principal
Anti Trojans
Antivirus
Hoaxes
Subscripciones
Otro software
Artículos
Links
Sugerencias
Sobre el BBS
Direcciones
Galería
Chat

       

Inyección de comandos FTP en Internet Explorer
 
VSantivirus No. 1617 Año 8, viernes 10 de diciembre de 2004

Inyección de comandos FTP en Internet Explorer
http://www.vsantivirus.com/vul-ie-ftp-091204.htm

Por Angela Ruiz
angela@videosoft.net.uy


Se ha detectado una vulnerabilidad en Microsoft Internet Explorer, que permite la inyección de comandos en una sesión FTP (File Transfer Protocol).

Esta debilidad puede ser explotada por un atacante, utilizando un URI maliciosamente construido.

URI (Uniform Resource Identifier o Identificador Universal de Recursos), es la secuencia de caracteres que identifica cualquier recurso (servicio, página, documento, dirección de correo electrónico, etc.) accesible en una red. Consta de dos partes, el identificador del método de acceso o protocolo (http:, ftp:, mailto:, etc.), y el nombre del recurso (//dominio, usuario@dominio, etc.).

El problema se produce por una insuficiente validación del contenido de la entrada recibida cuando se procesa el protocolo FTP://.

La víctima debe conectarse a un servidor FTP malicioso para recibir los comandos, y para ello se requiere cierta interacción de su parte, lo que disminuye las posibilidades de ejecutar el exploit. Sin embargo, de ser exitoso, se puede producir la descarga y posible ejecución de código sin el conocimiento del usuario. Otra clase de ataques podrían ser posibles.

La inyección de código se produce al utilizarse caracteres "%0A" en el URI. Un ejemplo ha sido publicado en Internet.

No existen parches para esta vulnerabilidad.

Software vulnerable:

- Microsoft Internet Explorer 6.0 Windows XP SP2
- Microsoft Internet Explorer 6.0 SP1 (todos los Windows)
- Microsoft Internet Explorer 6.0 (todos los Windows)

La vulnerabilidad ha sido confirmada en sistemas con todos los parches actualizados, Internet Explorer 6.0 y Microsoft Windows 2000 SP4 y Windows XP con SP2.


Solución:

No navegar por sitios que no sean de confianza.


Créditos:

Albert Puigsech Galicia


Relacionados:

Inyección de comandos FTP en Internet Explorer
http://www.7a69ezine.org/node/view/168

Microsoft Internet Explorer
FTP Command Injection Vulnerability
http://secunia.com/advisories/13404/




(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com

 

Copyright 1996-2004 Video Soft BBS