Publican el código de ataque de ZERO DAY para Internet Explorer 8 incluido WINDOWS 7

Investigadores de seguridad han anunciado el código que saca partido de un error no parcheado de Internet Explorer y que elude las defensas de Windows 7.

Microsoft investiga el error, del que no le constan incidentes.
 

Microsoft ya ha declarado que se encuentra “investigando estas denuncias públicas de una nueva vulnerabilidad en Internet Explorer”, en palabras de Dave Forstrom, director del grupo Trustworthy Computing de Microsoft, quien también asegura que la compañía no tiene conocimiento de “ningún ataque que utilice la mencionada vulnerabilidad”

Los primeros en dar a conocer este fallo fueron los investigadores de la firma francesa Vupen, quienes descubrieron un fallo en la ingeniería HTML de Explorer que podía ser aprovechado cuando el navegador procesa archivos CSS (Cascading Style Sheets) que incluyesen reglas to HTML.

Abysssec Security Research también ha publicado un vídeo de una demostración de cómo se comporta un ataque.

Es uno de los primeros errores que también se pueden ejecutar en Internet Explorer 8 en Windows 7, capaz de anular las defensas DEP (data execution prevention) y ASLR (address space layout randomization).
 Fuente

Comentario:
Pues ahora que habiamos quedado bastante limpios de ZERO DAYS, aparece este otro, que está claro será para parchear el Año que viene…

saludos

ms, 24-12-2010