Ejecución remota de código en Internet Explorer (0day)

Microsoft ha publicado un boletín de seguridad para alertar de una vulnerabilidad sin parche en Internet Explorer que podría permitir la ejecución remota de código.

El boletín, publicado el sábado 26 de Abril, expone una vulnerabilidad en el navegador web de Microsoft. Se debe a un error al intentar acceder a un objeto en la memoria que no se ha asignado correctamente o se ha eliminado previamente. Esto podría corromper la memoria y permitir a un atacante remoto ejecutar código arbitrario con los permisos del usuario actual de Internet Explorer.

Para explotar este error de seguridad bastaría convencer a un usuario para que visite, a través del navegador Internet Explorer, un sitio web especialmente diseñado por el atacante.

La vulnerabilidad ha sido identificada como CVE-2014-1776 y afectada a todas las versiones del navegador Internet Explorer desde la 6 hasta la 11.

Microsoft afirma haber detectado que la vulnerabilidad está siendo explotada, sin embargo continúa estudiando el problema y liberará los parches en la próxima actualización mensual del martes 13 de Mayo o en una actualización fuera de ciclo, en función de la gravedad del mismo.

Más información:

• Microsoft Security Advisory 2963983: https://technet.microsoft.com/en-us/library/security/2963983
• CVE-2014-1776: http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-1776
• Primer ZERO DAY de IE tras el fin de ciclo de soporte a XP: http://www.zonavirus.com/noticias/2014/primer-zero-day-de-ie-tras-el-fin-de-ciclo-de-soporte-a-xp.asp
• Nuevo 0day en IE: http://www.hackplayers.com/2014/04/nuevo-0day-en-ie-cve-2014-1776-el.html
• Protégete del nuevo Zero-Day en IE y Flash: http://www.welivesecurity.com/la-es/2014/04/28/nuevo-zero-day-internet-explorer-flash/
• Microsoft identifica una vulnerabilidad que afecta a todas las versiones de Internet Explorer: http://www.elotrolado.net/noticia_microsoft-identifica-una-vulnerabilidad-que-afecta-a-todas-las-versiones-de-internet-explorer_24037
• New Zero-Day Exploit: http://www.fireeye.com/blog/uncategorized/2014/04/new-zero-day-exploit-targeting-internet-explorer-versions-9-through-11-identified-in-targeted-attacks.html

[#1 chavi]

liberará los parches en la próxima actualización mensual del martes 13 de Mayo

Mientras, cruzad los dedos.