Nos informa Hispasec que existe un error en el sistema de análisis de contenido de los navegadores Opera y Google Chrome. Debido a dicho error un atacante remoto podría explotar esto para ejecutar código JavaScript arbitrario a través de un enlace que devuelva un “mime type” del tipo “text/xml”, “text/atom-xml” o “text/rss-xml” con JavaScript incrustado. Estos navegadores lo procesarían sin motivo.

El sistema de análisis de contenido de un navegador web debería comprobar qué tipo de datos son los que va a mostrar y activar o desactivar ciertas funcionalidades dependiendo del tipo; por ejemplo, no tendría sentido que un navegador ejecutara código JavaScript si accede a un fichero cuyo “mime type” en el servidor es “image/jpeg”, puesto que en teoría, no debería existir ningún tipo de código JavaScript en un fichero de ese formato.

Google ya ha solucionado esta vulnerabilidad y ha publicado un parche para su versión 3 que se puede aplicar desde el propio Chrome.

En este momento Opera no ha actualizado ni notificado oficialmente esta vulnerabilidad en su sitio oficial, pero al parecer su equipo de desarrollo y seguridad están trabajando para solucionar este problema.

Nuevos métodos de actuación del malware. En esta ocasión le toca a Skype, el popular software de VoIP ,  el cual es objetivo de un troyano (Trojan.Peskyspy) que graba y guarda en formato MP3 las conversaciones de Skype.

Ha sido Symantec quien afirma haber encontrado la publicación del código fuente de este troyano que, después de grabar y guardar en formato MP3 la conversación de la víctima, lo envía a un servidor predefinido por el atacante para después escuchar las conversaciones grabadas.

Fuente: Slashdo (ENG).