Microsoft Internet Explorer no restringe debidamente el acceso a los marcos de un documento, lo que puede permitir a un atacante modificar el contenido de un marco en un dominio diferente.
Los marcos en los documentos HTML son subdivisiones de la ventana actual. El uso más común de los marcos en las páginas web es el IFRAME o marco interno.
Un IFRAME puede ser utilizado para mostrar el contenido de un dominio diferente dentro de la representación física de la página web actual. Un ejemplo del uso de un IFRAME en una página web es mostrar un banner de publicidad ubicado en un sitio web diferente al actual.
Microsoft Internet Explorer no restringe debidamente el acceso a un documento de marcos. Esto puede permitir a un atacante sustituir el contenido de una página web con marcos, por cualquier otro contenido arbitrario.
Internet Explorer aplica el modelo de seguridad "cross-domain", que limita las acciones que un marco malicioso puede tomar con el resto del documento. Por ejemplo, un marco en un dominio diferente, no debería poder acceder a las cookies o contenido HTML del dominio donde se muestra el marco utilizando IFRAME.
Sin embargo, mediante eventos como "onmousedown", un IFRAME puede capturar las pulsaciones de teclado del documento original. Otras acciones pueden ser posibles.
Una prueba limitada ha puesto de manifiesto que son vulnerables Internet 6, 7 y 8 (beta 1). Una prueba de concepto del código que se aprovecha de esta vulnerabilidad ha sido hecha pública.
Para que un ataque sea exitoso, debe convencerse a la víctima a visualizar un documento HTML (página web o correo electrónico con formato HTML). El atacante podría ser capaz de capturar las pulsaciones de teclado mientras el usuario está interactuando con una página web en un dominio diferente.
Esta vulnerabilidad puede ser mitigada desactivando Active Scripting en la Zona de Internet, tal como se especifica en el siguiente artículo de VSAntivirus.com:
Configuración personalizada para hacer más seguro el IE
http://www.vsantivirus.com/faq-sitios-confianza.htmAl momento de emitirse esta alerta, no hay soluciones prácticas al problema.
Más información:
Vulnerability Note VU#516627
Microsoft Internet Explorer fails to properly restrict access to frames
http://www.kb.cert.org/CERT_WEB/services/vul-notes.nsf/id/516627Ghost Busters
http://www.gnucitizen.org/blog/ghost-busters/Ghosts for IE8 and IE7.5730
http://sirdarckcat.blogspot.com/2008/05/ghosts-for-ie8-and-ie75730.htmlBrowser's Ghost Busters
http://sirdarckcat.blogspot.com/2008/05/browsers-ghost-busters.htmlInternet Explorer 7 Frame Location Handling Vulnerability
http://secunia.com/advisories/30851/-VSantivirus-
Tema: Internet Explorer no restringe el acceso a marcos (Leído 1203 veces)
Páginas: [1]
!! ADVERTENCIAS !!: Las informaciones aquí publicadas NO CONTIENEN KEYS para la decodificación de ningún sistema: NO SON OPERATIVOS en sistemas SAT que precisen de su correspondiente suscripción. ESTA TOTALMENTE PROHIBIDO EL USO DE ESTAS INFORMACIONES PARA LA MODIFICACIÓN O DEFRAUDACIÓN DE SISTEMAS DE ACCESO CONDICIONAL. EN ESTOS FOROS NO SE PERMITE LA PUBLICACIÓN DE INFORMACIONES ILEGALES POR PARTE DE LOS USUARIOS. EN CASO DE DETECTARSE ESTE TIPO DE INFORMACIONES, LOS USUARIOS SERÁN EXCLUIDOS DE ESTAS PÁGINAS.