Um problema incomum de cruzamento de navegadores que afetava usuários do Firefox foi descoberta este ano, aonde o fato curioso da exploração é que o navegador só podia ser usado maliciosamente se fosse chamado através do Internet Explorer. A falha bizarra envolvia URIs no Internet Explorer que podem chamar outros aplicativos, como o Firefox, para a execução arbitrária de códigos.
A Microsoft afirmou que a responsabilidade era da empresa que desenvolveu o aplicativo (no caso, Mozilla). A Mozilla rebateu a acusação, mas atualizou o Firefox. Agora, para confundir ainda mais a situação, Jonathan Ness, da Microsoft, postou uma nota no blog do Internet Explorer explicando que a empresa está se preparando para lançar uma atualização para o IE 7.0, que resolveria parte dos problemas com URIs.
O Identificador de Recursos Uniformes (URI) é uma série de URLs que identifica recursos e instrui o navegador a agir quando um destes é usado. URIs maliciosos podem explorar erros nos aplicativos chamados para a execução de malwares, mas remover a funcionalidade não é a melhor solução. "Conseguimos fazer mudanças em alguns pontos do Windows para bloquear ataques via URIs, mas bloquear a função completamente pode resultar em erros de vários aplicativos", informou Ness no blog do IE.
No entanto, a Microsoft acha que pode fazer algumas mudanças na maneira como o Internet Explorer lida com URIs. "Desde que iniciamos a investigação, houve vários debates sobre os ataques", segundo Ness. A correção é voltada para o Internet Explorer 7.0 no Windows XP/Server 2003, já que Windows Vista não é afetado e o IE 6.0 também está imune.
Porém, Ness enfatizou que nem todos os ataques em potencial podem ser corrigidos apenas pela Microsoft, "que recomenda que os donos dos aplicativos corrijam os possíveis problemas relacionados", completou o funcionário. Por exemplo, uma recente falha do Google Picasa que pode ser usada para roubar imagens não pode ser corrigida apenas pela Microsoft sem cancelar alguns funcionalidades do aplicativo.
Mais informações: ArsTechnica
