Exclusivo: un investigador de seguridad reveló hoy públicamente detalles y vulnerabilidades de prueba de concepto para dos vulnerabilidades de día cero ‘sin parches’ en los navegadores web de Microsoft después de que la empresa supuestamente no respondiera a su divulgación privada responsable.

Ambas vulnerabilidades sin parches, una de las cuales afecta a la última versión de Microsoft explorador de Internet y otra afecta a la última Navegador de borde—Permitir que un atacante remoto pase por alto la política del mismo origen en el navegador web de la víctima.

Política del mismo origen (SOP) es una característica de seguridad implementada en los navegadores modernos que restringe una página web o un script cargado desde un origen para interactuar con un recurso de otro origen, evitando que los sitios no relacionados interfieran entre sí.

En otras palabras, si visita un sitio web en su navegador web, solo puede solicitar datos del mismo origen [domain] desde el que se cargó el sitio, evitando que realice una solicitud no autorizada en su nombre para robar sus datos de otros sitios.

Sin embargo, las vulnerabilidades descubiertas por un investigador de seguridad de 20 años james leequien compartió los detalles con The Hacker News, podría permitir que un sitio web malicioso realice ataques de secuencias de comandos universales entre sitios (UXSS) contra cualquier dominio visitado utilizando los navegadores web vulnerables de Microsoft.

Para explotar con éxito estas vulnerabilidades, todo lo que los atacantes deben hacer es convencer a la víctima para que abra el sitio web malicioso. [created by hacker]lo que eventualmente les permite robar los datos confidenciales de la víctima, como la sesión de inicio de sesión y las cookies, de otros sitios visitados en el mismo navegador.

«El problema está dentro de las Entradas de sincronización de recursos en los navegadores de Microsoft que filtran de manera inapropiada las URL de origen cruzado después de la redirección», dijo Lee a The Hacker News en un correo electrónico.

El investigador se puso en contacto con Microsoft y compartió responsablemente su hallazgo con la compañía hace diez meses, eso es casi un año, pero el gigante tecnológico ignoró los problemas y no respondió a la divulgación hasta la fecha, dejando ambas fallas sin reparar.

Lee tiene ahora publicado exploits de prueba de concepto (PoC) para ambos problemas.

The Hacker News ha probado y confirmado de forma independiente las vulnerabilidades de día cero contra la última versión de Internet Explorer y Edge que se ejecutan en un sistema operativo Windows 10 con parches completos.

Las vulnerabilidades recientemente reveladas son similares a las que Microsoft parchó el año pasado en sus navegadores Internet Explorer (CVE-2018-8351) y Edge (CVE-2018-8545).

Dado que los detalles y PoC para ambos zero-day ya se han puesto a disposición del público, los piratas informáticos no tardarán mucho en explotar las fallas en un intento de atacar a los usuarios de Microsoft.

Lo que es decepcionante es que actualmente no hay mucho que los usuarios puedan hacer para evitar este problema hasta que Microsoft solucione los problemas de seguridad. Puede utilizar otros navegadores web que no estén afectados por esta vulnerabilidad, como Chrome o Firefox.