Documento informativo sobre seguridad de Microsoft (911302)
Una vulnerabilidad en la forma en que Internet Explorer gestiona los eventos onLoad podría permitir la ejecución remota de código
Microsoft está investigando nuevos informes públicos sobre una vulnerabilidad que afecta a Microsoft Internet Explorer en Microsoft Windows 98, Windows 98 Second Edition, Windows Millennium Edition, Windows 2000 Service Pack 4 y Windows XP Service Pack 2. Los clientes con Windows Server 2003 y Windows Server 2003 Service Pack 1 en sus configuraciones predeterminadas, con la configuración de seguridad mejorada activada, no se ven afectados. También se nos ha informado de la existencia de código conceptual para intentar aprovechar esta vulnerabilidad, pero no tenemos constancia hasta el momento de incidencias en clientes. Seguiremos investigando estos informes públicos.
Una vez terminada la investigación, Microsoft tomará las medidas apropiadas para proteger a sus clientes. Dichas medidas podrían incluir una actualización de seguridad en nuestra publicación mensual, o bien una actualización independiente, según las necesidades del cliente.
El primer informe público data de mayo, cuando se mencionó como un problema de estabilidad que provocaba que el explorador se cerrara. Ahora se ha dado a conocer nueva información que indica que es posible la ejecución remota de código. A Microsoft le preocupa que este nuevo informe de una vulnerabilidad en Internet Explorer no se haya revelado de forma responsable, lo que posiblemente haya podido suponer un riesgo para los usuarios. Continuamos fomentando la revelación responsable de las vulnerabilidades. Creemos que la práctica comúnmente aceptada de informar directamente de las vulnerabilidades al proveedor contribuye al interés de todos. Esta práctica permite que los clientes reciban actualizaciones completas y de alta calidad para vulnerabilidades de seguridad, sin tener que estar expuestos a atacantes malintencionados durante el periodo en que se prepara una actualización de seguridad.
Microsoft recomienda a los usuarios que actúen con precaución cuando abran vínculos en un correo electrónico. Para obtener más información acerca de cómo explorar la Web de forma segura, visite el sitio de informática de confianza.
Seguimos recomendando a los clientes que apliquen los consejos de la sección Proteja su PC, a saber: habilitar un servidor de seguridad, aplicar actualizaciones de software e instalar software antivirus. La información completa al respecto puede consultarse en el sitio Proteja su PC.
Los clientes que piensen que se han visto afectados por este problema pueden ponerse en contacto con los Servicios de soporte técnico. En Estados Unidos y Canadá, este servicio está disponible sin costo en el número de PC Safety (1 866-PCSAFETY). Los clientes que vivan en otros países pueden buscar el número gratuito de asistencia relacionada con virus en el sitio Web de ayuda y soporte técnico de Microsoft.
Factores atenuantes:
| • | En el caso de un ataque basado en Web, el intruso tendría que alojar un sitio Web que contuviera una página Web para aprovechar esta vulnerabilidad. El atacante no podría obligar a los usuarios a visitar un sitio Web malintencionado. Por tanto, tendría que atraerlos al sitio Web, normalmente incitándoles a hacer clic en un vínculo que le lleve al mismo. |
| • | Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos. |
| • | La zona Sitios restringidos ayuda a reducir los ataques que podrían aprovechar esta vulnerabilidad al impedir que se usen secuencias de comandos ActiveX cuando se lee correo electrónico HTML. Sin embargo, si un usuario hace clic en un vínculo de un mensaje de correo electrónico, podría quedar vulnerable a este problema por la posibilidad de tratarse de una situación de ataque basado en Web. |
| • | De forma predeterminada, Internet Explorer en Windows Server 2003, Windows Server 2003 Service Pack 1, Windows Server 2003 con Service Pack 1 para sistemas con Itanium y Windows Server 2003 x64 Edition se ejecuta en un modo restringido, que se conoce como Configuración de seguridad mejorada. Este modo soluciona esta vulnerabilidad. Vea la sección P+F correspondiente a esta actualización de seguridad para obtener más información acerca de la configuración de seguridad mejorada de Internet Explorer. |
Información general
Descripción general |
Preguntas más frecuentes |
Acciones recomendadas |
Soluciones |
Microsoft ha probado las siguientes soluciones provisionales. Aunque estas soluciones provisionales no corrigen la vulnerabilidad subyacente, ayudan a bloquear los tipos de ataque conocidos. Cuando una solución temporal reduce la funcionalidad, se identifica en la siguiente sección.
Modifique la configuración de Internet Explorer de forma que se pregunte antes de ejecutar secuencias de comandos ActiveX o se deshabilite la ejecución en la zona de seguridad de Internet e Intranet local. |
Configurar la zona de seguridad de Internet e Intranet local en “Alta” de forma que se pregunte antes de ejecutar secuencias de comandos ActiveX en estas zonas |
Restringir los sitios Web sólo a aquellos de confianza |
| • | Microsoft recomienda a los usuarios que actúen con precaución cuando abran vínculos en un correo electrónico. Para obtener más información acerca de cómo explorar la Web de forma segura, visite el sitio de informática de confianza. |
| • | Los clientes de EE.UU. y Canadá que piensen que pueden estar afectados por esta vulnerabilidad pueden recibir soporte técnico de los Servicios de soporte técnico de Microsoft en 1-866-PCSAFETY. Las llamadas de soporte técnico relacionadas con las actualizaciones de seguridad o virus son gratuitas. Los clientes que vivan en otros países pueden recibir asistencia a través de cualquiera de los métodos que encontrarán en el sitio Web de ayuda y soporte técnico de seguridad para usuarios domésticos. |
| • | Todos los usuarios deben aplicar las actualizaciones de seguridad más recientes de Microsoft para que sus equipos cuenten con el máximo nivel de protección posible. Los clientes que han activado las actualizaciones automáticas recibirán de forma automática todas las actualizaciones de Windows. Para obtener información adicional acerca de las actualizaciones de seguridad, visite el sitio Web de seguridad de Microsoft. |
| • | Proteja su PC Seguimos recomendando a los clientes que sigan los consejos de la sección Proteja su PC, a saber: habilitar un servidor de seguridad, obtener actualizaciones de software e instalar software antivirus. La información completa al respecto puede consultarse en el sitio Web Proteja su PC. |
| • | Para obtener más información acerca de la seguridad en Internet, los clientes pueden visitar el sitio Web de seguridad de Microsoft. |
| • | Mantener actualizado Windows Todos los usuarios de Windows deben aplicar las actualizaciones de seguridad más recientes para que sus equipos cuenten con el máximo nivel de protección posible. Si tiene dudas acerca de si su software está actualizado, visite el sitio Web de Microsoft Update, explore las actualizaciones disponibles para el equipo e instale las actualizaciones importantes que se le ofrezcan. Si tiene la función Actualizaciones automáticas activada, recibirá las actualizaciones en cuanto estén disponibles; asegúrese de instalarlas. |
Recursos:
| • | Puede hacernos llegar sus comentarios si rellena el formulario que se encuentra en el siguiente sitio Web. |
| • | Los clientes de Estados Unidos y Canadá pueden recibir soporte técnico de los Servicios de soporte técnico de Microsoft. Para obtener más información sobre las opciones de asistencia disponibles, visite el sitio Web de ayuda y soporte técnico en línea de Microsoft. |
| • | Los clientes internacionales pueden recibir soporte técnico en las subsidiarias de Microsoft de sus países. Para obtener más información acerca de cómo ponerse en contacto con Microsoft en relación con problemas de soporte técnico internacional, visite el sitio Web de soporte técnico internacional de Microsoft. |
| • | El sitio Web Microsoft TechNet Security proporciona información adicional acerca de la seguridad de los productos de Microsoft. |
Renuncia:
La información proporcionada en este documento informativo se suministra "tal cual", sin garantía de ningún tipo. Microsoft renuncia al otorgamiento de toda garantía, tanto expresa como implícita, incluidas las garantías de comerciabilidad e idoneidad para un determinado fin. Ni Microsoft Corporation ni sus proveedores se responsabilizarán en ningún caso de daños directos, indirectos, incidentales, consecuenciales, pérdida de beneficios o daños especiales, aun en el supuesto de que se hubiera informado a Microsoft Corporation o a sus proveedores de la posibilidad de dichos daños. Algunos estados de Estados Unidos no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, y, por tanto, la limitación anterior puede no ser aplicable en su caso.
Revisiones:
| • | 21 de noviembre de 2005: Publicación del documento informativo |