Crónica de (otra) debilidad día cero de IE

No es la primera vez ni será la última. El miércoles pasado (10.12.08) se advirtió sobre una debilidad de día cero (sin parche) en IE 5, 6, 7 y 8. Se advirtió sobre ataques que usan SQL injection en combinación con esta debilidad y se detectó que sitios en línea de pornografía, juegos y apuestas (principalmente ubicados en China) estaban siendo usados como plataforma para lanzar este tipo de ataques.

Afortunadamente hoy (17.12.08) Microsoft reaccionó y emitió un parche (MS08-078) y se recomienda aplicarlo a la brevedad. Por cierto que los "workarounds" no son nada prácticos ya que giran en torno a deshabilitar el scripting del navegador dejándolo con muy poca funcionalidad. Otra recomendación era no navegar en sitios sospechosos...sugerencia por demás ridícula.

En fin, hay reportes que indican que la debilidad fue publicada por "error" por un grupo de "investigadores" de seguridad chinos. "Pensamos que la debilidad ya estaba solucionada". Sí claro. En fin, se rumora que la debilidad existía desde noviembre y se vendía en el mercado negro por $15,000 USD. La historia está extraña, pero no es casualidad que esta debilidad "apareciera" un día después del segundo martes de publicación de parches por parte de Microsoft (con esto se capitaliza la debilidad esperando que se resuelva hasta dentro de un mes).

Es buen momento para pensar en aplicar el parche en la infraestructura.