Portal IDG

Uma vulnerabilidade na maneira como o navegador Internet Explorer processa comandos de FTP pode permitir que crackers roubem ou apaguem informações do site FTP da vítima.

O bug, que afeta usuários do IE6 e do IE5 sem suporte, oferece ao invasor um caminho para ele que interfira nas sessões FTP da vítima. Um ataque eficiente, entretanto, não é fácil de se conseguir e só funcionaria com alvos específicos, afirmam analistas de segurança. 

O cracker teria de saber o nome de usuário da vítima no servidor de FTP e a vítima já teria de estar registrada no servidor, usando o IE. Sob essas condições, a vítima pode receber um link de FTP malicioso que então executaria comandos no servidor FTP.

Esse link seria enviado para o navegador por meio de um componente iFrame invisível, escondido no site malicioso, e a vítima nem saberá que está sendo atacada.

“É uma forma de se roubarem informações, desde que você tenha um alvo preciso”, disse Derek Abdine, principal engenheiro de software da Rapid7, que descobriu o problema na segunda-feira (10/03).

“O ataque parece viável, mas é necessário um cenário completamente favorável para que ele funcione”, afirmou Craig Schumugar, analista da McAfee, por e-mail. “Um administrador teria de ser autenticado ou o servidor teria de estar configurado com credenciais falsas”, ele explicou.