Descubierto fallo en Internet Explorer 8, parece ser un fallo en el filtro de XSS que permite que se puedan realizar ataques que debería eliminar. Parece ser que Microsoft fue avisada hace dos meses y Google era consciente del fallo.
En diciembre, cuando se liberen dominios con caracteres UNICODE, alguno se va a llevar un susto...
El tema de las transformaciones UNICODE da nuevos vectores de ataque a ataques ya conocidos como SQLInjection, XSS...etc, ya que los negocios de validación que los evitaban no validan la existencia de estos caracteres.
#3 no es tan sencillo, aún no se conoce completamente el comportamiento de los sistemas al normalizar ciertos caracteres... no sabes por donde va a salir el tiro en determinados sistemas.
Además, firefox no protege por sí solo de los xss más simples (IE8 sí), pero aunque le añadas el complemento NoScript, los ataques XSS que aprovechen UNICODE Transformations pueden ejecutarse.
Comentarios
¿Qué raro verdad? Pero este es nuevo
Un fallo en IE?????
Existe algo que Google no sepa???
Solo debemos saber 'Googlear' y el mundo estará a nuestros pies;)
Ya en serio, IE da lastima...
Suerte
Nah, eso se soluciona rápidamente con un parche http://www.mozilla-europe.org/es/firefox/
Esto no es nuevo, cualquier aficionado a la seguridad sabe de que va el tema desde unos meses atrás.
Recomiendo la lectura de este paper para entender de que va el tema:
http://www.casabasecurity.com/files/Chris_Weber_Character+Transformations+v1.7_IUC33.pdf
En diciembre, cuando se liberen dominios con caracteres UNICODE, alguno se va a llevar un susto...
El tema de las transformaciones UNICODE da nuevos vectores de ataque a ataques ya conocidos como SQLInjection, XSS...etc, ya que los negocios de validación que los evitaban no validan la existencia de estos caracteres.
#3 no es tan sencillo, aún no se conoce completamente el comportamiento de los sistemas al normalizar ciertos caracteres... no sabes por donde va a salir el tiro en determinados sistemas.
Además, firefox no protege por sí solo de los xss más simples (IE8 sí), pero aunque le añadas el complemento NoScript, los ataques XSS que aprovechen UNICODE Transformations pueden ejecutarse.