Ataque combinado, no solo Safari es culpable


Ayer informábamos acerca del aviso de seguridad de Microsoft sobre la amenaza combinada Safari/Windows. La alerta de Microsoft, no da muchos detalles específicos del problema, sino que simplemente menciona una "mezcla de amenazas" para los usuarios de Windows que instalan Safari en sus equipos. Sin embargo, se esconde algo más tras esta vulnerabilidad, según reporta un conocido investigador.

Microsoft advierte de la posibilidad de ejecución remota de código. Un atacante podría engañar a los usuarios a visitar un web con código malicioso, el cuál podría descargarse y ejecutarse de forma local, utilizando los mismos permisos que el usuario actual.

El problema con Safari, es que permite la descarga de archivos en el escritorio de Windows, sin advertir al usuario de ello.

Pero según el investigador independiente Aviv Raff, esto también tiene que ver con una vulnerabilidad en Internet Explorer reportada a Microsoft hace bastante tiempo. Raff prefiere no dar detalles concretos mientras la compañía de Redmond trabaja en el problema.

El tipo de ataque conocido como "Carpet Bombing", algo así como cubrir un terreno chico con muchas bombas, es decir, llenar el escritorio de Windows con archivos que pueden ser ejecutados por el usuario (que es lo que permite Safari), podría entonces ser utilizado junto a una segunda vulnerabilidad (en Internet Explorer en este caso), convirtiendo el asunto en más serio de lo que parecía.

De este modo, el problema no solo está del lado de Apple, aunque al menos Microsoft parece estar tratándolo como una cuestión de seguridad.


FUENTE