Microsoft se apresura a arreglar un día cero de Internet Explorer

Los usuarios de Windows siempre tuvieron problemas de seguridad con Internet Explorer, y ahora que se ha reemplazado en Windows 10, es como si ahora estuvieran luchando para vivir de manera segura sin él.

Por ejemplo, la prisa de esta semana por parte de Microsoft para corregir dos vulnerabilidades de alta prioridad que afectan a las versiones de Internet Explorer de la 9 a la 11. Una de ellas es un día cero que la empresa dice que está siendo explotado en ataques reales.

El día cero (CVE-2019-1367) fue reportado a Microsoft por Clément Lecigne del Grupo de Análisis de Amenazas de Google. Es una vulnerabilidad de ejecución remota de código (RCE) en el motor de secuencias de comandos del navegador que podría permitir a un atacante:

… instalar programas; ver, cambiar o eliminar datos; o crear nuevas cuentas de usuario con plenos derechos.

No se han hecho públicos más detalles, pero como con la mayoría de las vulnerabilidades del navegador, la explotación implicaría atraer a los usuarios sin parches a un sitio web malicioso.

¿No es gran cosa?

Debido a que Internet Explorer solo es utilizado por un pequeño porcentaje de usuarios, en teoría esto minimiza el alcance de la vulnerabilidad.

Sin embargo, debido a que el código Internet Explorer todavía está latente en cada versión de Windows, incluido Windows 10, la cantidad de personas que lo usan activamente podría no ser todos los afectados.

Algunos lo habrán activado en sus ordenadores con Windows 7 y 8 en el pasado, lo que significa que aún podrían ser vulnerables, si está configurado como el navegador predeterminado o pueden ser persuadidos para que visiten un sitio web infectado usándolo.

En Windows 10, Internet Explorer debe activarse conscientemente, por lo que cualquiera que no haya hecho esto no debería estar en peligro porque Microsoft Edge u otro navegador no afectado será el predeterminado.

Curiosamente, la actualización debe realizarse manualmente, durante la cual el instalador evalúa si los sistemas del usuario la necesitan o no, esto implica que los usuarios de Windows 10 al menos deberían estar seguros.

Los problemas en las secuencias de comandos de Internet Explorer no son desconocidos, como lo demuestra una investigación realizada de principios de este año, o CVE-2018-8653 de finales de 2018.

Vulnerabilidad en Microsoft Defender

La segunda parte de los parches de esta semana es CVE-2019-1255, una vulnerabilidad de denegación de servicio en el motor de seguridad incorporado en Windows, Microsoft (anteriormente Windows) Defender.

Esencialmente, un atacante podría explotar esto para “evitar que las cuentas legítimas ejecuten archivos binarios legítimos del sistema”. En otras palabras, para evitar que funcione correctamente.

La versión actualizada es Microsoft Malware Protection Engine versión 1.1.16400.2.

El soporte para Internet Explorer 10 finalizó en enero de 2016. En cuanto a la versión 11, por lo que podemos deducir de la documentación de Microsoft, recibirá soporte siempre que las versiones en las que está integrada sean compatibles. Para algunas versiones de Windows 10, eso implica soporte durante un largo tiempo.

Descarga una prueba gratuita de nuestro producto  XG Firewall y proteja su navegación en las redes.

Para manteneros al día de las últimas amenazas haceros fans de nuestra página de Facebook o síguenos en Twitter para intercambiar experiencias en torno al mundo de la seguridad. Si deseas recibir nuestro boletín de seguridad en tu correo electrónico, suscríbete en la siguiente aplicación: