Asociación de Internautas

Sólo por recibir el correo -sin abrirlo- o por entrar en una página web, se puede formatear el disco duro

30-03-2001 - OLALLA CERNUDA

MADRID.- Antes de seguir leyendo, y si usted es usuario de Microsoft Explorer 5, debería descargarse el parche que le proporcionamos un poco más abajo. Porque el matemático español Juan Carlos García Cuartango -que trabaja como consultor para varias empresas y ya ha puesto contra las cuerdas a Microsoft en varias ocasiones- acaba de descubrir un agujero de seguridad que puede dejar temblando a millones de internautas.

Según Cuartango, el popular navegador de Microsoft, Internet Explorer 5, y los programas de correo Outlook y Outlook Express, presentan una importante vulnerabilidad, que permite a un eventual atacante realizar cualquier acción sobre el sistema de los usuarios de IE 5 por el mero hecho de visitar una página web maliciosa o por leer on line un mensaje de correo, ya que basta con que la opción 'vista previa' esté activada para que la vulnerabilidad funcione. El resultado: nada esperanzador. El atacante puede formatear el disco duro en menos que canta un gallo.

No es la primera vez que Cuartango pone en un serio apuro a Microsoft, aunque, como ha hecho en esta ocasión, el ingeniero madrileño siempre avisa a los técnicos del gigante informático de su descubrimiento antes de hacerlo público, para que éstos puedan preparar un parche, como ha ocurrido en este caso. Sin embargo, el parche sólo es válido para versiones del Sistema Operativo y navegadores en inglés. Si se utiliza un Windows en castellano y el navegador en inglés, el parche no funciona, aunque Microsoft ha asegurado que lo tendrá listo de nuevo en un par de días.

Según ha comunicado Cuartango en un artículo publicado en Kriptópolis , «el problema radica en los archivos con extensión .EML. Este tipo de archivos contienen mensajes de correo en formato 'MIME Multipart', que es el formato utilizado para enviar cualquier mensaje de correo vía un servidor SMTP. La pregunta es ¿qué tiene eso que ver con el navegador IE?. Pues bien; dicho navegador interpreta ese tipo de archivos para visualizar el contenido de un mensaje de correo».

Adjuntando un archivo ejecutable, y mediante una manipulación a través de un trama embebida en el cuerpo del mensaje, el navegador IE ejecutará el código contenido en el archivo adjunto. El asunto parece complicado, pero en Kriptópolis han preparado una demostración de cómo funciona esta vulnerabilidad .

Cuartango asegura que «en este caso, inhibir los scripts no soluciona el problema, sino que es necesario descargarse el parche publicado por Microsoft. Existe otra solución, ya apuntada por algún clarividente gurú en el anterior boletín de Kriptópolis, que consiste en la instalación del reproductor Windows Media Player 7 (con el parche que corrige un importante error de dicho software, que -por cierto- tiene un aspecto y unas prestaciones inmejorables), o del reproductor Real Audio. Ésto también puede sonar incomprensible, pero es que el problema parece radicar en un incorrecto tratamiento de archivos audio por parte del navegador IE, cuando el reproductor de dichos archivos es el estándar Window Media Player 6».

Según ha declarado a ELMUNDO.ES Carlos Sánchez Almeida, otro miembro de Kriptópollis, el agujero no sólo es «gravísimo», sino que además «supone la confirmación de la denuncia que hacíamos hace una semana, cuando llamamos la atención de la problemática que pueda conllevar que las administraciones públicas utilicen ordenadores con programas propietarios (como es el caso del Explorer), que nadie sabe qué fallos o vulnerabilidades pueden ocultar».

En Microsoft han reconocido la grave vulnerabilidad, y han preparado un parche para impedir que sus usuarios se vean afectados por el problema, que se puede descargar gratuitamente desde su página web. De momento, no han hecho más comentarios.

Reproducido de EL Mundo