Internet Explorer está lejos de los líderes del sector como son Google Chrome y Mozilla Firefox. Su cuota de mercado, como hemos visto recientemente, dista mucho de ellos. Por problemas como el que vamos a hablar este artículo, posiblemente su uso siga disminuyendo. El navegador de Microsoft Internet Explorer se ha visto afectado por un error grave que permite a las páginas detectar lo que el usuario está escribiendo en su barra de direcciones URL. Filtra, por tanto, este contenido.
Bug en Internet Explorer
Esto incluye nuevas URL a las que el usuario puede estar navegando. Pero también términos de búsqueda que Internet Explorer maneja automáticamente mediante una búsqueda con Bing. Los usuarios que copian y pegan URL para páginas de Intranet dentro de Internet Explorer, probablemente verán este error como un gran problema.
El error, detectado por el investigador de seguridad Manuel Caballero, plantea un riesgo de privacidad. Esto es así ya que podría ser utilizado en operaciones de reconocimiento en ataques específicos. Pero también para la recolección de datos por los anunciantes en línea.
Este error ocurre cuando el navegador Internet Explorer carga una página con una etiqueta de objeto HTML maliciosa y también cuando presenta la metaetiqueta de compatibilidad en su código fuente. Ambas condiciones son muy fáciles de cumplir.
Condiciones
Condición uno: los atacantes pueden ocultar etiquetas de objeto HTML maliciosas en sitios infectados o cargarlo a través de anuncios que permiten a los anunciantes cargar código personalizado HTML y / o JavaScript.
Condición dos: X-UA-Compatible es una meta etiqueta de modo de documento que permite a los autores de la web elegir la versión de Internet Explorer en la que se debe mostrar la página. Casi todos los sitios en Internet tienen una metaetiqueta de compatibilidad.
Según Caballero, cuando el código JavaScript se ejecuta en la etiqueta HTML del objeto malintencionado, “el objeto de ubicación se confunde y devuelve la ubicación principal en lugar de la suya propia”.
En términos sencillos, esto significa que la etiqueta HTML de objeto malintencionado, que se puede cargar y ocultar dentro de una página, tendrá acceso a los recursos e información disponibles anteriormente en la ventana principal del navegador.
Descripción técnica del error
En una descripción técnica del error, Caballero ha dicho que el objeto malintencionado puede “recuperar la ubicacion.href del objeto mientras el usuario está saliendo de la página principal”, lo que permite a un atacante “saber qué escribió (el usuario) en el Barra de dirección.”
Anteriormente, Caballero también descubrió un error en Internet Explorer que permite que el código JavaScript malicioso persista y siga funcionando en el fondo del navegador incluso si el usuario ha cerrado la pestaña de la página malintencionada. Este error puede ser abusado por las campañas malvertising para entregar a los mineros de criptomonedas que utilizan los recursos computacionales de un usuario para minar Monero mucho después de que el usuario haya visitado un sitio malicioso, haciendo que el ordenador del usuario se ralentice y un desgaste prematuro del procesador del usuario.
Fuente: https://www.redeszone.net/2017/09/27/bug-internet-explorer-filtra-lo-los-usuarios-escriben/
