Descubierta vulnerabilidad zero day en IE y Microsoft Edge

Project Zero, el equipo dedicado a la investigación de seguridad de Google, ha dado a conocer una grave vulnerabilidad zero day que afecta a los dos navegadores de Microsoft, Internet Explorer 11 y Edge. De acuerdo con Ivan Fratric, el ingeniero que ha llevado a cabo el hallazgo, el fallo de seguridad permitiría a los atacantes bloquear el software de navegación y ejecutar código malicioso en algunos casos.

La vulnerabilidad se debe a lo que se conoce como un bug de confusión de tipos y fue descubierta el pasado 25 de noviembre, momento en el que Fratric reportó el fallo a Microsoft. Sin embargo, el problema no se ha hecho público hasta el pasado lunes, ya que la política de Google ofrece un margen de 90 días desde el momento en que se informa de un fallo de manera privada hasta que se revelan los detalles del error.

Los de Redmond todavía no han resuelto el problema, y, teniendo en cuenta que además han cancelado el Patch Tuesday del mes de febrero, significa que la vulnerabilidad quedará sin parchear de momento.

Desde Project Zero aseguran que el fallo de seguridad de Internet Explorer 11 y Microsoft Edge resulta muy fácil de explotar, y ha sido posible hacerlo con una prueba de concepto de solo 17 líneas de código HTML, con un enfoque de dos variables rcx y rax. Fratric explica que esto permite a un atacante ejecutar de manera remota un código arbitrario para bloquear y controlar los navegadores, con algunas limitaciones. 

i eres un usuario de los navegadores de Microsoft, desde MSPowerUser indican que es posible reducir los riesgos de este fallo de seguridad ejecutando Internet Explorer o Edge como un usuario de privilegios limitados. Para ello, en primer lugar crea una cuenta de administrador en el PC en Panel de Control>Cuentas de Usuario y asegúrate de que conoces tu nombre de usuario y contraseña. Después, usa la cuenta que acabas de crear para degradar tu cuenta habitual y pasarla a una de privilegios limitados.

VIA: http://computerhoy.com/noticias/software/descubierta-vulnerabilidad-zero-day-ie-microsoft-edge-59080