Seg\u00fan un art\u00edculo publicado esta semana en Internetnews.com, investigadores en seguridad sostienen que la \u00faltima versi\u00f3n de Mozilla Firefox 2.0.0.4 presenta un fallo de seguridad que podr\u00eda permitir a un hacker ejecutar unas instrucciones arbitrarias y hacerse con el control del ordenador de un usuario. <\/p>\n
Al menos uno de los investigadores afirma que el fallo se produce cuando el usuario tambi\u00e9n tiene instalado el Internet Explorer de Microsoft en el mismo ordenador.
Independientemente, Mozilla ya est\u00e1 trabajando en su reparaci\u00f3n. <\/p>\n
\u00abEstamos al tanto del problema y ya estamos desarrollando un parche\u00bb, se\u00f1ala Window Snyder, jefe de seguridad de Mozilla. \u00abMozilla tiene el compromiso de ofrecer la experiencia m\u00e1s segura para sus usuarios\u00bb. Snyder no ha dicho cuando saldr\u00e1 el parche para el fallo, que la empresa de seguridad Secunia ha descrito como \u00abmuy cr\u00edtico\u00bb.<\/p>\n
El fallo est\u00e1 relacionado con el gestor del identificador uniforme de recursos (URI) \u00abfirefoxurl:\/\/\u00bb, que permite a Firefox llamar a otros recursos Web. Investigadores de seguridad independientes sostienen que el URI est\u00e1 abierto a la introducci\u00f3n de c\u00f3digo malicioso que podr\u00eda poner en riesgo a los usuarios.
Billy (BK) Rios, Nate Mcfeters y Raghav \u00abthe Pope\u00bb Dube explicaron en su aviso que en la instalaci\u00f3n de Firefox2 se registra el URI \u00abfirefoxurl\u00bb en el registro de Windows. \u00abEl peligro surge cuando par\u00e1metros que forman parte de firefoxurl: se pasan directamente a Firefox.exe como opciones sin validaci\u00f3n. Utilizando el URI firefoxurl, es posible utilizar Internet Explorer (u otro navegador basado en Web) para lanzar FireFox e inmediatamente lanzar c\u00f3digo JavaScript\u00bb. <\/p>\n
El investigador independiente Thor Larholm afirma que el fallo es un problema de Internet Explorer. \u00abFirefox es el vector de ataque, pero Internet Explorer es culpable por no evitar los caracteres al pasar la entrada a la l\u00ednea de comandos\u00bb, se\u00f1ala. \u00abEstoy de acuerdo en que Firefox podr\u00eda haber registrado su gestor de URL con DDE puro, evitando as\u00ed la posibilidad de inyecci\u00f3n de argumentos en la l\u00ednea de comandos, pero el IE deber\u00eda ser capaz de lanzar aplicaciones externas con seguridad\u00bb.<\/p>\n