Imagina que eres un anunciante en Internet...
Imagina que puedes abrir una ventana emergente (pop up) que supera cualquier bloqueo...
Imagina que esta ventana puede llenar TODA la pantalla...
Imagina que esta ventana no tiene bordes, ni menúes, ni barras, ni título, ni botones... Ningún medio para cerrarla...
Imagina que la ventana no se mueve mover ni minimizar... Sólo desaparece cuando acaba el anuncio o si cierras tu navegador...
Ahora imagina que te dedicas a hacer phishing...
Imagina que puedes usar esta ventana para mostrar en ella lo que quieras... un falso navegador o -por qué no- un falso escritorio para recopilar datos del usuario...
¿Un sueño imposible?
En absoluto, es una realidad 100% gracias a Java (TM)...
Así comienza la teatral (pero realista) descripción del problema que ha descubierto Giorgio Maone (creador de NoScript), que reside en una vulnerabilidad de Java y que Sun se encuentra estudiando.
Las demostraciones que ha publicado Maeone no hacen sino confirmar sus palabras...
En realidad, se trata de dos formas diferentes de explotar el mismo problema:
* La
primera demo hace uso de
LiveConnect y requiere unas pocas líneas de Javascript, pero sólo funciona en Opera y navegadores basados en el motor Gecko (como Firefox).
* La
segunda demo es puro Java y funciona en todos los navegadores (Explorer, Opera, Firefox, Safari...)
En ambos casos el resultado es preocupante.
Aunque sin duda los usuarios avanzados encontrarán formas de cerrar la ventana en su sistema, podemos imaginar la repercusión de una explotación de este fallo en millones de usuarios menos enterados.
Como siempre, NoScript es tu amigo... si usas Firefox, claro.
