Los navegadores web buscan hacernos cada vez más fácil y cómoda la navegación por la red. Por ello, estas herramientas cuentan con un gran número de funciones y características útiles que nos permiten navegar por la red de una forma muy cómoda, como, por ejemplo, utilizando el historial para permitirnos acceder rápidamente a las páginas web que hemos visitado anteriormente o la herramienta de auto-completar que nos permite completar automáticamente los cuadros de texto con nuestros datos o contraseñas. Sin embargo, estas funciones pueden resultar tan útiles como peligrosas, como le ocurre a Microsoft Edge.
Manuel Caballero, un experto de seguridad de Buenos Aires ha descubierto un fallo en el nuevo navegador web de Microsoft, Edge, que puede permitir a un pirata informático engañar al navegador haciéndose pasar por una página que, en realidad, no es. De esta manera, el pirata informático puede hacer que el navegador piense que se encuentra en una página web determinada y, llamando a la función de auto-completa del mismo, vuelve la información, como las contraseñas o los datos bancarios, en dicha página que, obviamente, estará bajo el control del pirata.
Este experto de seguridad ha habilitado un nuevo portal desde el que podemos probar fácilmente esta vulnerabilidad UXSS/SOP en el navegador de Microsoft. Para ello, lo único que debemos hacer es acceder a la siguiente página web de prueba y probar cómo se muestran los datos de sesión guardados en el navegador.
Además de los dos ejemplos que nos vienen en esta página, Twitter y Facebook, este fallo puede recuperar contraseñas de prácticamente cualquier servicio, como foros, PayPal, nuestro banco y así hasta el 90% de las webs que utilizan iframes para el inicio de sesión.
Esta vulnerabilidad ya ha sido solucionada con los parches de seguridad de mayo de Microsoft
Sin duda, esta es una vulnerabilidad bastante seria y, además, muy sencilla de explotar ya que podemos caer en ella simplemente pulsando en un enlace oculto (por ejemplo, por un acortador de URLs) que se encargue de recoger nuestros datos y enviarlos directamente a un servidor controlado por los piratas.
Por suerte, este fallo de seguridad ha sido solucionado antes de que los piratas informáticos empezaran a explotarlo de forma masiva, y es que, si hemos instalado las últimas actualizaciones acumulativas para Windows 10 publicadas el pasado martes, nuestro Edge ya estará protegido y, aunque intentemos explotar este falo, en ningún momento podremos acceder a los credenciales.
De todas formas, no todos los fallos descubiertos por este experto de seguridad han sido solucionados, y es que el navegador de Microsoft aún puede facilitar a piratas informáticos información sobre las cookies de sesión e incluso filtrar datos sobre las páginas web desde las que somos transferidos al hacer clic sobre un enlace.
Poco a poco Microsoft sigue haciendo de Edge un navegador más seguro a la altura de sus principales rivales como Google Chrome o Firefox (navegadores que, además, no son vulnerables a estos fallos) de manera que pueda competir con ellos también en el ámbito de la seguridad. Sin embargo, aún le queda un largo camino por delante para poder decir que, efectivamente, se trata de un navegador seguro y libre de vulnerabilidades graves como la que acabamos de ver y que puede poner en peligro nuestras cuentas.
Fuente:https://www.redeszone.net/2017/05/11/microsoft-soluciona-vulnerabilidad-contrasenas-edge/
Entusiasta de la seguridad cibernética. Especialista en seguridad de la información, actualmente trabajando como especialista en infraestructura de riesgos e investigador.
Experiencia en procesos de riesgo y control, soporte de auditoría de seguridad, diseño y soporte de COB (continuidad del negocio), gestión de grupos de trabajo y estándares de seguridad de la información.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/.
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
