Microsoft ya ha declarado que se encuentra “investigando estas denuncias públicas de una nueva vulnerabilidad en Internet Explorer”, en palabras de Dave Forstrom, director del grupo Trustworthy Computing de Microsoft, quien también asegura que la compañía no tiene conocimiento de “ningún ataque que utilice la mencionada vulnerabilidad”

Los primeros en dar a conocer este fallo fueron los investigadores de la firma francesa Vupen, quienes descubrieron un fallo en la ingeniería HTML de Explorer que podía ser aprovechado cuando el navegador procesa archivos CSS (Cascading Style Sheets) que incluyesen reglas “@import”, que permite a los internet explorer logodiseñadores web añadir hojas de estilo externas en un documento HTML.

El 9 de diciembre, Vupen confirma la vulnerabilidad en Explorer 8 en máquinas Windows XP, Vista y Windows 7, así como en Explorer 6 y 7 en XP. Vupen fue capaz de sacar partido de este error, pero sólo publicó el código para sus clientes y para fines de testeo.

Abysssec Security Research también ha publicado un vídeo de una demostración de cómo se comporta un ataque.

Es uno de los primeros errores que también se pueden ejecutar en Internet Explorer 8 en Windows 7, capaz de anular las defensas DEP (data execution prevention) y ASLR (address space layout randomization).

Noticias relacionadas

Microsoft lanza 17 parches de seguridad para Windows y Explorer

Explorer es el navegador más seguro

Cómo resolver la incompatibilidad de Windows 7 e Internet Explorer 6