Vulnerabilidad Zero Day de Internet Explorer te afecta incluso sin usarlo

Podrías sentirte tentado -con razón- a pensar que los problemas de seguridad relativos al anciano navegador Internet Explorer no te afectan ni deben preocuparte.

Después de todo, la mayor parte de los usuarios ha abandonado hace años este navegador en favor de otros como Chrome, Firefox, Safari o Microsoft Edge. Pero, ¿y si te contásemos que no es así?

Incluso la propia Microsoft ha estado advirtiendo últimamente a las empresas de los peligros de establecer Internet Explorer como su navegador predeterminado, ya que ha dejado de contar con actualizaciones de peso.

Nueva vulnerabilidad Zero Day para Internet Explorer

Hay incluso quien ha sugerido a Microsoft dejar de publicar parches para IE, de esta forma intentar forzar a los usuarios a sustituirlo por el nuevo Edge.

No obstante algunos usuarios (sobre todo corporativos) aún dependen de este navegador. Pero claro, en una empresa el navegador podrá ejecutarse en un entorno más controlado y sustentado por otras capas avanzadas de seguridad (no es lo mismo que en el hogar).

Al grano. El caso es que un investigador ha publicado un POC (prueba de concepto) cuyo código demuestra como los usuarios que abren un archivo .MHT (formato de guardado estandar para páginas web) de forma local estarían comprometiendo su información en favor de un atacante.

Vulnerabilidad Zero Day de Internet Explorer

Si intentamos abrir un archivo de este tipo en un ordenador con Windows 7, Windows 10 o Windows Server 2012 R2, por defecto el sistema operativo lo cargará con Internet Explorer. En estos casos se produciría un ataque día cero que explota una vulnerabilidad XXE (XML eXternal Entity).

Esto permitiría a los atacantes realizar un reconocimiento remoto y extraer fuera del sistema determinados archivos. Por ejemplo, se menciona un intento de solicitud de archivo local c:\Python27\NEWS.txt que revelaría los detalles del software instalado (algo que un atacante quiere saber antes de lanzar un exploit).

¿Cómo lanzar el ataque? En primer lugar se valdrían de la ingeniería social, como para tantas otras cosas. Se convencería al usuario para abrir el archivo MHTML modificado.

¿No hay parche?

Para este sistema que aún cuenta con un razonable 7% de market share, Microsoft ha sido un poco tibia con la respuesta y no se sabe qué esperar:

Estamos determinados a solucionar este problema en una versión futura de este producto o servicio. En este momento, no vamos a proporcionar actualizaciones futuras o el estado para esta vulnerabilidad, y hemos cerrado el caso.

Está bastante claro. Aparte de protegernos contra la ingeniería social no abriendo archivos no solicitados (en este caso .MHT) lo que recomendamos es desinstalar Internet Explorer a la mayor brevedad desde el panel de control de Windows.

Autor: Alejandro Sánchez

Alejandro es técnico micro-informático, experto en seguridad de las TIC y apasionado de la tecnología. Colabora habitualmente en diferentes publicaciones de seguridad, software y análisis de hardware entusiasta.