Boletín de seguridad de Microsoft MS07-069 - Crítico
Actualización de seguridad acumulativa para Internet Explorer (942615)
Versión: 1.3
Información general
Resumen ejecutivo
Esta actualización de seguridad crítica resuelve cuatro vulnerabilidades de las que se ha informado de forma privada. La repercusión de seguridad más importante podría permitir la ejecución remota de código si un usuario visita una página web especialmente diseñada mediante Internet Explorer. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.
La actualización de seguridad se considera moderada para Internet Explorer 6 y 7 en Windows Server 2003. Para las demás versiones compatibles de Internet Explorer, esta actualización de seguridad se considera crítica. Para obtener más información, consulte la subsección, Software afectado y no afectado, en esta sección.
La actualización de seguridad corrige estas vulnerabilidades mediante la modificación de la forma en que Internet Explorer trata el acceso a la memoria liberada. Para obtener más información acerca de las vulnerabilidades, consulte la subsección Preguntas más frecuentes (P+F) de la entrada de vulnerabilidad específica en la sección siguiente, Información sobre la vulnerabilidad.
Recomendación. Microsoft recomienda a sus clientes que apliquen la actualización inmediatamente.
Problemas conocidos. En el artículo 942615 de Microsoft Knowledge Base se señalan los problemas detectados que pueden experimentar los clientes al instalar esta actualización de seguridad. Se documentan asimismo las soluciones propuestas
Software afectado y no afectado
El software que se enumera aquí se ha probado para determinar las versiones o ediciones que están afectadas. Otras versiones o ediciones han llegado al final de su ciclo de vida o no están afectadas. Para determinar el ciclo de vida del soporte técnico de su versión o edición de software, visite Ciclo de vida del soporte técnico de Microsoft.
Software afectado
| Sistema operativo | Componente | Repercusión de seguridad máxima | Clasificación de gravedad acumulada | Boletines reemplazados por esta actualización |
| Internet Explorer 5.01 e Internet Explorer 6 Service Pack 1 | ||||
Microsoft Windows 2000 Service Pack 4 | Ejecución remota de código | Crítica | ||
Microsoft Windows 2000 Service Pack 4 | Ejecución remota de código | Crítica | ||
| Internet Explorer 6 | ||||
Windows XP Service Pack 2 | Ejecución remota de código | Crítica | ||
Windows XP Professional x64 Edition y Windows XP Professional x64 Edition Service Pack 2 | Ejecución remota de código | Crítica | ||
Windows Server 2003 Service Pack 1 y Windows Server 2003 Service Pack 2 | Ejecución remota de código | Moderada | ||
Windows Server 2003 x64 Edition y Windows Server 2003 x64 Edition Service Pack 2 | Ejecución remota de código | Moderada | ||
Windows Server 2003 con SP1 para sistemas con Itanium y Windows Server 2003 con SP2 para sistemas con Itanium | Ejecución remota de código | Moderada | ||
| Internet Explorer 7 | ||||
Windows XP Service Pack 2 | Ejecución remota de código | Crítica | ||
Windows XP Professional x64 Edition y Windows XP Professional x64 Edition Service Pack 2 | Ejecución remota de código | Crítica | ||
Windows Server 2003 Service Pack 1 y Windows Server 2003 Service Pack 2 | Ejecución remota de código | Moderada | ||
Windows Server 2003 x64 Edition y Windows Server 2003 x64 Edition Service Pack 2 | Ejecución remota de código | Moderada | ||
Windows Server 2003 con SP1 para sistemas con Itanium y Windows Server 2003 con SP2 para sistemas con Itanium | Ejecución remota de código | Moderada | ||
Windows Vista | Ejecución remota de código | Crítica | ||
Windows Vista x64 Edition | Ejecución remota de código | Crítica |
Preguntas más frecuentes (P+F) relacionadas con esta actualización de seguridad |
¿Por qué se quitaron los detalles de información de archivo de este boletín?
Algunos clientes experimentaban retrasos considerables al ver el boletín debido al tamaño de la sección de información de archivo. Para evitar este retraso, los detalles de información de archivo se han movido al artículo 942615 de Microsoft Knowledge Base.
¿Contendrán los futuros boletines de Internet Explorer detalles de información de archivo?
No, se espera que este cambio sea permanente. Todos los detalles de información de archivo de los futuros boletines de Internet Explorer se publicarán en el archivo de Knowledge Base relacionado.
¿Cuáles son los problemas detectados que pueden experimentar los clientes al instalar esta actualización de seguridad?
En el artículo 942615 de Microsoft Knowledge Base se señalan los problemas detectados que pueden experimentar los clientes al instalar esta actualización de seguridad. Se documentan asimismo las soluciones propuestas
Problemas conocidos desde la publicación original del boletín:
| • | KB946627: Internet Explorer 6 se bloquea después de instalar la actualización de seguridad 942615 en un equipo que ejecuta Windows XP Service Pack 2. |
¿Cómo se relaciona KB946627 con esta publicación?
KB946627 corrige un problema conocido en esta actualización de seguridad. El paquete agrega un valor DWORD denominado * que tiene un valor de 1 en la siguiente subclave del Registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_PROTECT_DECOMPRESSION_FILTER_FROM_ABORT_KB942367
¿Por qué soluciona esta actualización varios problemas de vulnerabilidad de seguridad detectados?
Esta actualización soluciona varias vulnerabilidades porque las modificaciones para estos problemas se encuentran en archivos relacionados. En lugar de instalar varias actualizaciones que son prácticamente iguales, los clientes sólo necesitan instalar esta actualización.
¿Contiene esta actualización algún cambio en relación con la seguridad en su funcionalidad?
Sí. Además de los cambios que se indican en la sección “Detalles de la vulnerabilidad” de este boletín, esta actualización incluye los siguientes cambios relacionados con la seguridad:
| • | Esta actualización configura un bit de interrupción para el control ActiveX, DXTLIPI.DLL, que no tiene soporte técnico:
| ||||||
| • | Esta actualización configura un bit de interrupción para el control ActiveX, HRTBEAT.OCX, que ya no tiene soporte técnico:
|
Esta actualización incluye bits de interrupción que impedirán que los siguientes controles ActiveX se ejecuten en Internet Explorer:
| • | Esta actualización de seguridad configura un bit de interrupción para los controles ActiveX de Intuit. Intuit ha publicado un boletín de seguridad y una actualización que se ocupa de una vulnerabilidad en los componentes afectados. Para obtener más información y ubicaciones de descarga, vea el boletín de seguridad de Intuit. Este bit de interrupción se configura a petición del propietario del control ActiveX. Los identificadores de clase (CLSID) de este control ActiveX son:
| ||||||||||||||||||||||||||||||
| • | Esta actualización de seguridad configura un bit de interrupción para los controles ActiveX de Vantage. Vantage ha publicado un boletín de seguridad y una actualización que se ocupa de una vulnerabilidad en los componentes afectados. Para obtener más información y ubicaciones de descarga, vea el boletín de seguridad de Vantage. Este bit de interrupción se configura a petición del propietario del control ActiveX. Los identificadores de clase (CLSID) de este control ActiveX son:
|
¿Esta actualización de seguridad incluye la actualización KB921090 ‘Internet Explorer genera un mensaje de error que indica que una página no se puede mostrar en un equipo que ejecuta Windows Server 2003 o Windows XP’?
Sí, esta actualización de seguridad incluye la actualización KB921090.
¿Incluye esta actualización de seguridad la actualización KB945007 ‘Vista previa de activación automática de componentes de IE’?
No, esta actualización de seguridad no incluye la actualización KB945007. Sin embargo, una futura actualización acumulativa de Internet Explorer incluirá KB945007. Actualmente Internet Explorer requiere que los usuarios activen manualmente los controles en algunas páginas web, mostrando la información sobre herramientas "Haga clic para activar". Este comportamiento de "Haga clic para activar" se eliminará definitivamente en abril de 2008.
¿Cómo puedo prepararme para este cambio?
Se recomienda a los clientes que usen la vista previa de activación automática de componentes de IE (IE ACA) para probar sus sitios web y aplicaciones. La vista previa de IE ACA (KB945007) sólo se debe aplicar después de instalar esta actualización de seguridad. Los clientes interesados en obtener más información y orientación detallada acerca de cómo prepararse para este cambio, deben consultar el artículo acerca de la activación automática de componentes de IE, que se actualizará para mantener informados a los clientes con respecto a este próximo lanzamiento.
Uso una versión anterior del software tratado en este boletín de seguridad. ¿Qué debo hacer?
El software afectado que se enumera en este boletín se ha probado para determinar las versiones que están afectadas. Otras versiones o ediciones han pasado su ciclo de vida del soporte técnico. Para determinar el ciclo de vida del soporte técnico de su versión de software, visite Ciclo de vida del soporte técnico de Microsoft.
Los clientes que tengan esas versiones o ediciones anteriores del software deberían plantearse la migración a versiones con soporte técnico para evitar la exposición a vulnerabilidades. Para obtener más información acerca del ciclo de vida del soporte técnico de los productos de Windows, visite Ciclo de vida del soporte técnico de Microsoft. Para obtener más información acerca de la ampliación del período de soporte técnico de las actualizaciones de seguridad correspondientes a estas versiones de software, visite el sitio web Servicios de soporte técnico de Microsoft.
Los clientes que requieran soporte técnico para el software anterior deben ponerse en contacto con su representante del equipo de cuentas de Microsoft, con su administrador técnico de cuentas o con el representante del socio de Microsoft apropiado para consultar las opciones de soporte personalizado disponibles. Los clientes con un contrato Alliance, Premier o Authorized pueden ponerse en contacto con su oficina de ventas local de Microsoft. Para obtener información de contacto, visite el sitio web de información en todo el mundo de Microsoft, seleccione el país y, a continuación, haga clic en Ir para ver una lista de números de teléfono. Cuando llame, diga que desea hablar con el administrador de ventas local de soporte técnico Premier. Para obtener más información, consulte las Preguntas más frecuentes del Ciclo de vida del soporte técnico de productos del sistema operativo Windows.
Información sobre la vulnerabilidad
Gravedad e identificadores de vulnerabilidad |
| Gravedad de la vulnerabilidad y repercusión de seguridad máxima del software afectado | |||||
| Software afectado | Vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-3902) | Vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-3903) | Vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-5344) | Vulnerabilidad de daños en la memoria relacionada con objetos DHTML (CVE- 2007-5347) | Clasificación de gravedad acumulada |
| Internet Explorer 5.01 e Internet Explorer 6 Service Pack 1 | |||||
Internet Explorer 5.01 Service Pack 4 en Microsoft Windows 2000 Service Pack 4 | Crítica | No aplicable | No aplicable | No aplicable | Crítica |
Internet Explorer 6 Service Pack 1 cuando está instalado en Microsoft Windows 2000 Service Pack 4 | Crítica | Crítica | Crítica | Crítica | Crítica |
| Internet Explorer 6 | |||||
Internet Explorer 6 para Windows XP Service Pack 2 | Crítica | Crítica | Crítica | Crítica | Crítica |
Internet Explorer 6 para Windows XP Professional x64 Edition y Windows XP Professional x64 Edition Service Pack 2 | Crítica | Crítica | Crítica | Crítica | Crítica |
Internet Explorer 6 para Windows Server 2003 Service Pack 1 y Windows Server 2003 Service Pack 2 | Moderada | Moderada | Moderada | Moderada | Moderada |
Internet Explorer 6 para Windows Server 2003 x64 Edition y Windows Server 2003 x64 Edition Service Pack 2 | Moderada | Moderada | Moderada | Moderada | Moderada |
Internet Explorer 6 para Windows Server 2003 con SP1 para sistemas con Itanium y Windows Server 2003 con SP2 para sistemas con Itanium | Moderada | Moderada | Moderada | Moderada | Moderada |
| Internet Explorer 7 | |||||
Internet Explorer 7 para Windows XP Service Pack 2 | Crítica | Crítica | Crítica | Crítica | Crítica |
Internet Explorer 7 para Windows XP Professional x64 Edition y Windows XP Professional x64 Edition Service Pack 2 | Crítica | Crítica | Crítica | Crítica | Crítica |
Internet Explorer 7 para Windows Server 2003 Service Pack 1 y Windows Server 2003 Service Pack 2 | Moderada | Moderada | Moderada | Moderada | Moderada |
Internet Explorer 7 para Windows Server 2003 x64 Edition y Windows Server 2003 x64 Edition Service Pack 2 | Moderada | Moderada | Moderada | Moderada | Moderada |
Internet Explorer 7 para Windows Server 2003 con SP1 para sistemas con Itanium y Windows Server 2003 con SP2 para sistemas con Itanium | Moderada | Moderada | Moderada | Moderada | Moderada |
Internet Explorer 7 en Windows Vista | Crítica | Crítica | Crítica | Crítica | Crítica |
Internet Explorer 7 en Windows Vista x64 Edition | Crítica | Crítica | Crítica | Crítica | Crítica |
Vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-3902) |
Existe una vulnerabilidad de ejecución remota de código en la forma en que Internet Explorer obtiene acceso a un objeto cuando no se ha inicializado correctamente o se ha eliminado. Un atacante podría aprovechar esta vulnerabilidad mediante la creación de una página web especialmente diseñada. Si un usuario visita la página web, la vulnerabilidad podría permitir la ejecución remota de código. Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario que ha iniciado sesión.
Para ver esta vulnerabilidad como una entrada estándar en la lista de vulnerabilidades y exposiciones comunes, consulte CVE-2007-3902.
Factores atenuantes para la vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-3902) |
El factor atenuante hace referencia a una opción, configuración común o práctica recomendada general, existente en un estado predeterminado, que podría reducir la gravedad de una vulnerabilidad. Los siguientes factores atenuantes podrían ser útiles en su situación:
| • | En el caso de un ataque basado en web, el intruso podría alojar un sitio web que contuviera una página web para aprovechar esta vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan o alojan contenido o anuncios proporcionados por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. Por lo tanto, tendría que atraerlos al sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio web del atacante. |
| • | Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos. |
| • | De forma predeterminada, todas las versiones admitidas de Microsoft Outlook y Microsoft Outlook Express abren los mensajes de correo electrónico HTML en la zona Sitios restringidos. La zona Sitios restringidos ayuda a mitigar los ataques que podrían aprovechar esta vulnerabilidad al impedir que se usen controles ActiveX y secuencias de comandos ActiveX cuando se leen mensajes de correo electrónico HTML. Sin embargo, si un usuario hace clic en un vínculo de un mensaje de correo electrónico, podría quedar vulnerable a este problema por la posibilidad de un ataque basado en Web. |
| • | De forma predeterminada, Internet Explorer en Windows Server 2003 se ejecuta en un modo restringido conocido como Configuración de seguridad mejorada. Este modo establece el nivel de seguridad para la zona Internet en Alto. Esto constituye un factor atenuante para sitios web que no ha agregado a la zona de sitios de confianza de Internet Explorer. Vea la subsección P+F correspondiente a esta sección de vulnerabilidad para obtener más información acerca de la configuración de seguridad mejorada de Internet Explorer. |
Soluciones provisionales para la vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-3902) |
La solución provisional hace referencia a un cambio de opción o configuración que no corrige la vulnerabilidad subyacente pero ayuda a bloquear los tipos de ataque conocidos antes de aplicar la actualización. Microsoft ha probado las soluciones provisionales y señala en la explicación si una solución provisional reduce la funcionalidad
| • | Configure Internet Explorer de forma que se pregunte al usuario antes de ejecutar o deshabilitar secuencias de comandos ActiveX en la zona de seguridad de Internet e Intranet local Puede contribuir a la protección contra esta vulnerabilidad si cambia la configuración para que se pregunte al usuario antes de ejecutar o deshabilitar secuencias de comandos ActiveX en la zona de seguridad de Internet e Intranet local. Para ello, siga estos pasos:
Nota Al deshabilitar las secuencias de comandos ActiveX en las zonas de seguridad de Internet e Intranet local, es posible que algunos sitios web no funcionen correctamente. Si tiene dificultades para utilizar un sitio web después de cambiar esta configuración y está seguro de que el sitio es seguro de utilizar, puede agregarlo a la lista de sitios de confianza. Esto permitirá que el sitio funcione correctamente. Agregar sitios en los que confía a la zona de sitios de confianza de Internet Explorer Después de configurar Internet Explorer para exigir que le pregunte antes de ejecutar controles y secuencias de comandos ActiveX en las zonas Internet e Intranet local, puede agregar sitios en los que confíe a la zona Sitios de confianza de Internet Explorer. De esta forma, podrá seguir utilizando como siempre los sitios web de confianza al tiempo que colabora para protegerse de este ataque en los sitios en los que no confía. Se recomienda agregar solamente sitios en los que confíe a la zona Sitios de confianza. Para ello, siga estos pasos:
Nota Agregue todos los sitios de confianza para los que tenga la certeza de que no realizarán ninguna acción perjudicial en su equipo. En concreto, hay dos sitios que es aconsejable agregar: "*.windowsupdate.microsoft.com" y "*.update.microsoft.com" (sin las comillas). Se trata de los sitios que alojarán la actualización y requieren de un control ActiveX para instalarla. Consecuencias de la solución provisional: Preguntar antes de ejecutar los controles ActiveX conlleva efectos secundarios. Muchos sitios web de Internet o una intranet utilizan secuencias de comandos ActiveX para aportar funciones adicionales. Por ejemplo, un sitio de comercio electrónico en línea o el sitio de un banco pueden utilizar secuencias de comandos ActiveX para ofrecer menús, formularios de pedido o incluso movimientos de cuentas. Preguntar antes de ejecutar secuencias de comandos ActiveX (Pedir datos) es una configuración global que afecta a todos los sitios de Internet e Intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, siga los pasos de la sección "Agregue sitios en los que confía a la zona de sitios de confianza de Internet Explorer". |
| • | Configurar las zonas de seguridad de Internet e Intranet local en “Alta”, de forma que se pregunte antes de ejecutar controles ActiveX y secuencias de comandos ActiveX en estas zonas Puede contribuir en la protección de esta vulnerabilidad si cambia la configuración de la zona de seguridad Internet para que se pregunte al usuario antes de ejecutar controles y secuencias de comandos ActiveX. Para ello, establezca la seguridad del explorador en Alta. Para aumentar el nivel de seguridad en Internet Explorer, siga estos pasos:
Nota Si no hay visible un control deslizante, haga clic en Nivel predeterminado y, a continuación, mueva el control deslizante hacia Alta. Nota Al establecer el nivel en Alta, es posible que algunos sitios web no funcionen correctamente. Si tiene dificultades para utilizar un sitio web después de cambiar esta configuración y está seguro de que el sitio es seguro de utilizar, puede agregarlo a la lista de sitios de confianza. Esto permitirá que el sitio funcione correctamente, incluso con la configuración de seguridad en Alto. Agregar sitios en los que confía a la zona de sitios de confianza de Internet Explorer Después de configurar Internet Explorer para exigir que le pregunte antes de ejecutar controles y secuencias de comandos ActiveX en las zonas Internet e Intranet local, puede agregar sitios en los que confíe a la zona Sitios de confianza de Internet Explorer. De esta forma, podrá seguir utilizando como siempre los sitios web de confianza al tiempo que colabora para protegerse de este ataque en los sitios en los que no confía. Se recomienda agregar solamente sitios en los que confíe a la zona Sitios de confianza. Para ello, siga estos pasos:
Nota Agregue todos los sitios de confianza para los que tenga la certeza de que no realizarán ninguna acción perjudicial en su equipo. En concreto, hay dos sitios que es aconsejable agregar: "*.windowsupdate.microsoft.com" y "*.update.microsoft.com" (sin las comillas). Se trata de los sitios que alojarán la actualización y requieren de un control ActiveX para instalarla. Consecuencias de la solución provisional: Preguntar antes de ejecutar los controles ActiveX o las secuencias de comandos ActiveX tiene algunas repercusiones. Muchos sitios web de Internet o de una intranet utilizan controles ActiveX o secuencias de comandos ActiveX para aportar funciones adicionales. Por ejemplo, un sitio de comercio electrónico en línea o el sitio de un banco pueden utilizar controles ActiveX para ofrecer menús, formularios de pedido o incluso movimientos de cuentas. Preguntar antes de ejecutar controles ActiveX o secuencias de comandos ActiveX es una opción de configuración global que afecta a todos los sitios de Internet e intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar los controles ActiveX o las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, siga los pasos de la sección "Agregue sitios en los que confía a la zona de sitios de confianza de Internet Explorer". |
Preguntas más frecuentes sobre la vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-3902) |
¿Cuál es el alcance de esta vulnerabilidad?
Se trata de una vulnerabilidad de ejecución remota de código. Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario que ha iniciado sesión.
Si un usuario inicia sesión con derechos de usuario administrativos, un intruso que aprovechara esta vulnerabilidad podría lograr el control completo de un sistema afectado. De esta forma, un intruso podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con todos los derechos de usuario. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.
¿Cuál es la causa de esta vulnerabilidad?
Internet Explorer intenta tener acceso a un objeto que no se ha inicializado o se ha eliminado. Esto puede provocar que la memoria se altere de un modo que permita a un atacante ejecutar código arbitrario en el contexto del usuario conectado.
¿Para qué puede usar un atacante esta vulnerabilidad?
Un intruso que aprovechara estas vulnerabilidades podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.
¿Cómo podría aprovechar un atacante la vulnerabilidad?
Un atacante podría alojar un sitio web especialmente diseñado para aprovechar estas vulnerabilidades a través de Internet Explorer y convencer a un usuario para que visite el sitio web. También puede tratarse de sitios web vulnerables y sitios web que aceptan u hospedan contenido o anuncios proporcionados por el usuario. Estos sitios web podrían incluir contenido malintencionado a través del cual se podrían aprovechar estas vulnerabilidades. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. Por lo tanto, tendría que atraerlos al sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio web del atacante. También sería posible que se mostrara contenido web diseñado especialmente mediante titulares de anuncios u otros métodos para hacer llegar contenido web a los sistemas afectados.
¿Qué sistemas están más expuestos a esta vulnerabilidad?
Para que se produzca una acción de este tipo, esta vulnerabilidad requiere que el usuario haya iniciado una sesión y visite un sitio web. Por lo tanto, cualquier sistema en el que se utilice Internet Explorer de forma habitual, como estaciones de trabajo y servidores de Terminal Server, está expuesto a estas vulnerabilidades.
Estoy ejecutando Internet Explorer para Windows Server 2003. ¿Soluciona esto la vulnerabilidad?
Sí. De forma predeterminada, Internet Explorer en Windows Server 2003 se ejecuta en un modo restringido conocido como Configuración de seguridad mejorada. La configuración de seguridad mejorada es un grupo de valores preconfigurados de Internet Explorer que pueden reducir la posibilidad de que los usuarios o los administradores descarguen y ejecuten contenido web especialmente diseñado en un servidor. Esto constituye un factor atenuante para sitios web que no ha agregado a la zona de sitios de confianza de Internet Explorer. Consulte también la guía de administración de la configuración de seguridad mejorada de Internet Explorer.
¿Cómo funciona esta actualización?
La actualización elimina la vulnerabilidad al modificar el modo en que Internet Explorer trata los errores cuando se efectúan llamadas a objetos que ya no están inicializados.
En el momento de publicar este boletín de seguridad, ¿se había divulgado ya esta vulnerabilidad?
No. Microsoft recibió información acerca de esta vulnerabilidad a través de una fuente responsable.
En el momento de publicar este boletín de seguridad, ¿había recibido Microsoft algún informe que indicase que se estaba usando esta vulnerabilidad?
No. En el momento de publicar este boletín de seguridad, Microsoft no había recibido ninguna información que indicara que esta vulnerabilidad se hubiera utilizado para atacar a clientes y no tenía constancia de que se hubiera publicado código demostrativo.
Vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-3903) |
Existe una vulnerabilidad de ejecución remota de código en la forma en que Internet Explorer obtiene acceso a un objeto cuando no se ha inicializado correctamente o se ha eliminado. Un atacante podría aprovechar esta vulnerabilidad mediante la creación de una página web especialmente diseñada. Si un usuario visita la página web, la vulnerabilidad podría permitir la ejecución remota de código. Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario que ha iniciado sesión.
Para ver esta vulnerabilidad como una entrada estándar en la lista de vulnerabilidades y exposiciones comunes, consulte CVE-2007-3903.
Factores atenuantes para la vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-3903) |
El factor atenuante hace referencia a una opción, configuración común o práctica recomendada general, existente en un estado predeterminado, que podría reducir la gravedad de una vulnerabilidad. Los siguientes factores atenuantes podrían ser útiles en su situación:
| • | En el caso de un ataque basado en web, el intruso podría alojar un sitio web que contuviera una página web para aprovechar esta vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan o alojan contenido o anuncios proporcionados por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. Por lo tanto, tendría que atraerlos al sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio web del atacante. |
| • | Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos. |
| • | De forma predeterminada, todas las versiones admitidas de Microsoft Outlook y Microsoft Outlook Express abren los mensajes de correo electrónico HTML en la zona Sitios restringidos. La zona Sitios restringidos ayuda a reducir los ataques que podrían aprovechar esta vulnerabilidad al impedir que se usen controles ActiveX cuando se lee correo electrónico HTML. Sin embargo, si un usuario hace clic en un vínculo de un mensaje de correo electrónico, podría quedar vulnerable a este problema por la posibilidad de un ataque basado en Web. |
| • | De forma predeterminada, Internet Explorer en Windows Server 2003 se ejecuta en un modo restringido conocido como Configuración de seguridad mejorada. Este modo establece el nivel de seguridad para la zona Internet en Alto. Esto constituye un factor atenuante para sitios web que no ha agregado a la zona de sitios de confianza de Internet Explorer. Vea la subsección P+F correspondiente a esta sección de vulnerabilidad para obtener más información acerca de la configuración de seguridad mejorada de Internet Explorer. |
Soluciones provisionales para la vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-3903) |
La solución provisional hace referencia a un cambio de opción o configuración que no corrige la vulnerabilidad subyacente pero ayuda a bloquear los tipos de ataque conocidos antes de aplicar la actualización. Microsoft ha probado las soluciones provisionales y señala en la explicación si una solución provisional reduce la funcionalidad
| • | Configure Internet Explorer de forma que se pregunte al usuario antes de ejecutar o deshabilitar secuencias de comandos ActiveX en la zona de seguridad de Internet e Intranet local Puede contribuir a la protección contra esta vulnerabilidad si cambia la configuración para que se pregunte al usuario antes de ejecutar o deshabilitar secuencias de comandos ActiveX en la zona de seguridad de Internet e Intranet local. Para ello, siga estos pasos:
Nota Al deshabilitar las secuencias de comandos ActiveX en las zonas de seguridad de Internet e Intranet local, es posible que algunos sitios web no funcionen correctamente. Si tiene dificultades para utilizar un sitio web después de cambiar esta configuración y está seguro de que el sitio es seguro de utilizar, puede agregarlo a la lista de sitios de confianza. Esto permitirá que el sitio funcione correctamente. Agregar sitios en los que confía a la zona de sitios de confianza de Internet Explorer Después de configurar Internet Explorer para exigir que le pregunte antes de ejecutar controles y secuencias de comandos ActiveX en las zonas Internet e Intranet local, puede agregar sitios en los que confíe a la zona Sitios de confianza de Internet Explorer. De esta forma, podrá seguir utilizando como siempre los sitios web de confianza al tiempo que colabora para protegerse de este ataque en los sitios en los que no confía. Se recomienda agregar solamente sitios en los que confíe a la zona Sitios de confianza. Para ello, siga estos pasos:
Nota Agregue todos los sitios de confianza para los que tenga la certeza de que no realizarán ninguna acción perjudicial en su equipo. En concreto, hay dos sitios que es aconsejable agregar: "*.windowsupdate.microsoft.com" y "*.update.microsoft.com" (sin las comillas). Se trata de los sitios que alojarán la actualización y requieren de un control ActiveX para instalarla. Consecuencias de la solución provisional: Preguntar antes de ejecutar los controles ActiveX conlleva efectos secundarios. Muchos sitios web de Internet o una intranet utilizan secuencias de comandos ActiveX para aportar funciones adicionales. Por ejemplo, un sitio de comercio electrónico en línea o el sitio de un banco pueden utilizar secuencias de comandos ActiveX para ofrecer menús, formularios de pedido o incluso movimientos de cuentas. Preguntar antes de ejecutar secuencias de comandos ActiveX (Pedir datos) es una configuración global que afecta a todos los sitios de Internet e Intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, siga los pasos de la sección "Agregue sitios en los que confía a la zona de sitios de confianza de Internet Explorer". |
| • | Configurar las zonas de seguridad de Internet e Intranet local en “Alta”, de forma que se pregunte antes de ejecutar controles ActiveX y secuencias de comandos ActiveX en estas zonas Puede contribuir en la protección de esta vulnerabilidad si cambia la configuración de la zona de seguridad Internet para que se pregunte al usuario antes de ejecutar controles y secuencias de comandos ActiveX. Para ello, establezca la seguridad del explorador en Alta. Para aumentar el nivel de seguridad en Internet Explorer, siga estos pasos:
Nota Si no hay visible un control deslizante, haga clic en Nivel predeterminado y, a continuación, mueva el control deslizante hacia Alta. Nota Al establecer el nivel en Alta, es posible que algunos sitios web no funcionen correctamente. Si tiene dificultades para utilizar un sitio web después de cambiar esta configuración y está seguro de que el sitio es seguro de utilizar, puede agregarlo a la lista de sitios de confianza. Esto permitirá que el sitio funcione correctamente, incluso con la configuración de seguridad en Alto. Agregar sitios en los que confía a la zona de sitios de confianza de Internet Explorer Después de configurar Internet Explorer para exigir que le pregunte antes de ejecutar controles y secuencias de comandos ActiveX en las zonas Internet e Intranet local, puede agregar sitios en los que confíe a la zona Sitios de confianza de Internet Explorer. De esta forma, podrá seguir utilizando como siempre los sitios web de confianza al tiempo que colabora para protegerse de este ataque en los sitios en los que no confía. Se recomienda agregar solamente sitios en los que confíe a la zona Sitios de confianza. Para ello, siga estos pasos:
Nota Agregue todos los sitios de confianza para los que tenga la certeza de que no realizarán ninguna acción perjudicial en su equipo. En concreto, hay dos sitios que es aconsejable agregar: "*.windowsupdate.microsoft.com" y "*.update.microsoft.com" (sin las comillas). Se trata de los sitios que alojarán la actualización y requieren de un control ActiveX para instalarla. Consecuencias de la solución provisional: Preguntar antes de ejecutar los controles ActiveX o las secuencias de comandos ActiveX tiene algunas repercusiones. Muchos sitios web de Internet o de una intranet utilizan controles ActiveX o secuencias de comandos ActiveX para aportar funciones adicionales. Por ejemplo, un sitio de comercio electrónico en línea o el sitio de un banco pueden utilizar controles ActiveX para ofrecer menús, formularios de pedido o incluso movimientos de cuentas. Preguntar antes de ejecutar controles ActiveX o secuencias de comandos ActiveX es una opción de configuración global que afecta a todos los sitios de Internet e intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar los controles ActiveX o las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, siga los pasos de la sección "Agregue sitios en los que confía a la zona de sitios de confianza de Internet Explorer". |
Preguntas más frecuentes sobre la vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-3903) |
¿Cuál es el alcance de esta vulnerabilidad?
Se trata de una vulnerabilidad de ejecución remota de código. Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario que ha iniciado sesión.
Si un usuario inicia sesión con derechos de usuario administrativos, un intruso que aprovechara esta vulnerabilidad podría lograr el control completo de un sistema afectado. De esta forma, un intruso podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con todos los derechos de usuario. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.
¿Cuál es la causa de esta vulnerabilidad?
Internet Explorer intenta tener acceso a un objeto que no se ha inicializado o se ha eliminado. Esto puede provocar que la memoria se altere de un modo que permita a un atacante ejecutar código arbitrario en el contexto del usuario conectado.
¿Para qué puede usar un atacante esta vulnerabilidad?
Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.
¿Cómo podría aprovechar un atacante la vulnerabilidad?
Un atacante podría alojar un sitio web especialmente diseñado para aprovechar estas vulnerabilidades a través de Internet Explorer y convencer a un usuario para que visite el sitio web. También puede tratarse de sitios web vulnerables y sitios web que aceptan u hospedan contenido o anuncios proporcionados por el usuario. Estos sitios web podrían incluir contenido malintencionado a través del cual se podrían aprovechar estas vulnerabilidades. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. Por lo tanto, tendría que atraerlos al sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio web del atacante. También sería posible que se mostrara contenido web diseñado especialmente mediante titulares de anuncios u otros métodos para hacer llegar contenido web a los sistemas afectados.
¿Qué sistemas están más expuestos a esta vulnerabilidad?
Para que se produzca una acción de este tipo, esta vulnerabilidad requiere que el usuario haya iniciado una sesión y visite un sitio web. Por lo tanto, cualquier sistema en el que se utilice Internet Explorer de forma habitual, como estaciones de trabajo y servidores de Terminal Server, está expuesto a estas vulnerabilidades.
Estoy ejecutando Internet Explorer para Windows Server 2003. ¿Soluciona esto la vulnerabilidad?
Sí. De forma predeterminada, Internet Explorer en Windows Server 2003 se ejecuta en un modo restringido conocido como Configuración de seguridad mejorada. La configuración de seguridad mejorada es un grupo de valores preconfigurados de Internet Explorer que pueden reducir la posibilidad de que los usuarios o los administradores descarguen y ejecuten contenido web especialmente diseñado en un servidor. Esto constituye un factor atenuante para sitios web que no ha agregado a la zona de sitios de confianza de Internet Explorer. Consulte también la guía de administración de la configuración de seguridad mejorada de Internet Explorer.
¿Cómo funciona esta actualización?
La actualización elimina la vulnerabilidad al modificar el modo en que Internet Explorer trata los errores cuando se efectúan llamadas a objetos que ya no están inicializados.
En el momento de publicar este boletín de seguridad, ¿se había divulgado ya esta vulnerabilidad?
No. Microsoft recibió información acerca de esta vulnerabilidad a través de una fuente responsable.
En el momento de publicar este boletín de seguridad, ¿había recibido Microsoft algún informe que indicase que se estaba usando esta vulnerabilidad?
No. En el momento de publicar este boletín de seguridad, Microsoft no había recibido ninguna información que indicara que esta vulnerabilidad se hubiera utilizado para atacar a clientes y no tenía constancia de que se hubiera publicado código demostrativo.
Vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-5344) |
Existe una vulnerabilidad de ejecución remota de código en la forma en que Internet Explorer obtiene acceso a un objeto cuando no se ha inicializado correctamente o se ha eliminado. Un atacante podría aprovechar esta vulnerabilidad mediante la creación de una página web especialmente diseñada. Si un usuario visita la página web, la vulnerabilidad podría permitir la ejecución remota de código. Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario que ha iniciado sesión.
Para ver esta vulnerabilidad como una entrada estándar en la lista de vulnerabilidades y exposiciones comunes, consulte CVE-2007-5344.
Factores atenuantes para la vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-5344) |
El factor atenuante hace referencia a una opción, configuración común o práctica recomendada general, existente en un estado predeterminado, que podría reducir la gravedad de una vulnerabilidad. Los siguientes factores atenuantes podrían ser útiles en su situación:
| • | En el caso de un ataque basado en web, el intruso podría alojar un sitio web que contuviera una página web para aprovechar esta vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan o alojan contenido o anuncios proporcionados por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. Por lo tanto, tendría que atraerlos al sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio web del atacante. |
| • | Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos. |
| • | De forma predeterminada, todas las versiones admitidas de Microsoft Outlook y Microsoft Outlook Express abren los mensajes de correo electrónico HTML en la zona Sitios restringidos. La zona Sitios restringidos ayuda a reducir los ataques que podrían aprovechar esta vulnerabilidad al impedir que se usen controles ActiveX cuando se lee correo electrónico HTML. Sin embargo, si un usuario hace clic en un vínculo de un mensaje de correo electrónico, podría quedar vulnerable a este problema por la posibilidad de un ataque basado en Web. |
| • | De forma predeterminada, Internet Explorer en Windows Server 2003 se ejecuta en un modo restringido conocido como Configuración de seguridad mejorada. Este modo establece el nivel de seguridad para la zona Internet en Alto. Esto constituye un factor atenuante para sitios web que no ha agregado a la zona de sitios de confianza de Internet Explorer. Vea la subsección P+F correspondiente a esta sección de vulnerabilidad para obtener más información acerca de la configuración de seguridad mejorada de Internet Explorer. |
Soluciones provisionales para la vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-5344) |
La solución provisional hace referencia a un cambio de opción o configuración que no corrige la vulnerabilidad subyacente pero ayuda a bloquear los tipos de ataque conocidos antes de aplicar la actualización. Microsoft ha probado las soluciones provisionales y señala en la explicación si una solución provisional reduce la funcionalidad
| • | Configure Internet Explorer de forma que se pregunte al usuario antes de ejecutar o deshabilitar secuencias de comandos ActiveX en la zona de seguridad de Internet e Intranet local Puede contribuir a la protección contra esta vulnerabilidad si cambia la configuración para que se pregunte al usuario antes de ejecutar o deshabilitar secuencias de comandos ActiveX en la zona de seguridad de Internet e Intranet local. Para ello, siga estos pasos:
Nota Al deshabilitar las secuencias de comandos ActiveX en las zonas de seguridad de Internet e Intranet local, es posible que algunos sitios web no funcionen correctamente. Si tiene dificultades para utilizar un sitio web después de cambiar esta configuración y está seguro de que el sitio es seguro de utilizar, puede agregarlo a la lista de sitios de confianza. Esto permitirá que el sitio funcione correctamente. Agregar sitios en los que confía a la zona de sitios de confianza de Internet Explorer Después de configurar Internet Explorer para exigir que le pregunte antes de ejecutar controles y secuencias de comandos ActiveX en las zonas Internet e Intranet local, puede agregar sitios en los que confíe a la zona Sitios de confianza de Internet Explorer. De esta forma, podrá seguir utilizando como siempre los sitios web de confianza al tiempo que colabora para protegerse de este ataque en los sitios en los que no confía. Se recomienda agregar solamente sitios en los que confíe a la zona Sitios de confianza. Para ello, siga estos pasos:
Nota Agregue todos los sitios de confianza para los que tenga la certeza de que no realizarán ninguna acción perjudicial en su equipo. En concreto, hay dos sitios que es aconsejable agregar: "*.windowsupdate.microsoft.com" y "*.update.microsoft.com" (sin las comillas). Se trata de los sitios que alojarán la actualización y requieren de un control ActiveX para instalarla. Consecuencias de la solución provisional: Preguntar antes de ejecutar los controles ActiveX conlleva efectos secundarios. Muchos sitios web de Internet o una intranet utilizan secuencias de comandos ActiveX para aportar funciones adicionales. Por ejemplo, un sitio de comercio electrónico en línea o el sitio de un banco pueden utilizar secuencias de comandos ActiveX para ofrecer menús, formularios de pedido o incluso movimientos de cuentas. Preguntar antes de ejecutar secuencias de comandos ActiveX (Pedir datos) es una configuración global que afecta a todos los sitios de Internet e Intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, siga los pasos de la sección "Agregue sitios en los que confía a la zona de sitios de confianza de Internet Explorer". |
| • | Configurar las zonas de seguridad de Internet e Intranet local en “Alta”, de forma que se pregunte antes de ejecutar controles ActiveX y secuencias de comandos ActiveX en estas zonas Puede contribuir en la protección de esta vulnerabilidad si cambia la configuración de la zona de seguridad Internet para que se pregunte al usuario antes de ejecutar controles y secuencias de comandos ActiveX. Para ello, establezca la seguridad del explorador en Alta. Para aumentar el nivel de seguridad en Internet Explorer, siga estos pasos:
Nota Si no hay visible un control deslizante, haga clic en Nivel predeterminado y, a continuación, mueva el control deslizante hacia Alta. Nota Al establecer el nivel en Alta, es posible que algunos sitios web no funcionen correctamente. Si tiene dificultades para utilizar un sitio web después de cambiar esta configuración y está seguro de que el sitio es seguro de utilizar, puede agregarlo a la lista de sitios de confianza. Esto permitirá que el sitio funcione correctamente, incluso con la configuración de seguridad en Alto. Agregar sitios en los que confía a la zona de sitios de confianza de Internet Explorer Después de configurar Internet Explorer para exigir que le pregunte antes de ejecutar controles y secuencias de comandos ActiveX en las zonas Internet e Intranet local, puede agregar sitios en los que confíe a la zona Sitios de confianza de Internet Explorer. De esta forma, podrá seguir utilizando como siempre los sitios web de confianza al tiempo que colabora para protegerse de este ataque en los sitios en los que no confía. Se recomienda agregar solamente sitios en los que confíe a la zona Sitios de confianza. Para ello, siga estos pasos:
Nota Agregue todos los sitios de confianza para los que tenga la certeza de que no realizarán ninguna acción perjudicial en su equipo. En concreto, hay dos sitios que es aconsejable agregar: "*.windowsupdate.microsoft.com" y "*.update.microsoft.com" (sin las comillas). Se trata de los sitios que alojarán la actualización y requieren de un control ActiveX para instalarla. Consecuencias de la solución provisional: Preguntar antes de ejecutar los controles ActiveX o las secuencias de comandos ActiveX tiene algunas repercusiones. Muchos sitios web de Internet o de una intranet utilizan controles ActiveX o secuencias de comandos ActiveX para aportar funciones adicionales. Por ejemplo, un sitio de comercio electrónico en línea o el sitio de un banco pueden utilizar controles ActiveX para ofrecer menús, formularios de pedido o incluso movimientos de cuentas. Preguntar antes de ejecutar controles ActiveX o secuencias de comandos ActiveX es una opción de configuración global que afecta a todos los sitios de Internet e intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar los controles ActiveX o las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, siga los pasos de la sección "Agregue sitios en los que confía a la zona de sitios de confianza de Internet Explorer". |
Preguntas más frecuentes sobre la vulnerabilidad de daños en la memoria sin inicializar (CVE-2007-5344) |
¿Cuál es el alcance de esta vulnerabilidad?
Se trata de una vulnerabilidad de ejecución remota de código. Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario que ha iniciado sesión.
Si un usuario inicia sesión con derechos de usuario administrativos, un intruso que aprovechara esta vulnerabilidad podría lograr el control completo de un sistema afectado. De esta forma, un intruso podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con todos los derechos de usuario. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.
¿Cuál es la causa de esta vulnerabilidad?
Internet Explorer intenta tener acceso a un objeto que no se ha inicializado o se ha eliminado. Esto puede provocar que la memoria se altere de un modo que permita a un atacante ejecutar código arbitrario en el contexto del usuario conectado.
¿Para qué puede usar un atacante esta vulnerabilidad?
Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.
¿Cómo podría aprovechar un atacante la vulnerabilidad?
Un atacante podría alojar un sitio web especialmente diseñado para aprovechar estas vulnerabilidades a través de Internet Explorer y convencer a un usuario para que visite el sitio web. También puede tratarse de sitios web vulnerables y sitios web que aceptan u hospedan contenido o anuncios proporcionados por el usuario. Estos sitios web podrían incluir contenido malintencionado a través del cual se podrían aprovechar estas vulnerabilidades. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. Por lo tanto, tendría que atraerlos al sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio web del atacante. También sería posible que se mostrara contenido web diseñado especialmente mediante titulares de anuncios u otros métodos para hacer llegar contenido web a los sistemas afectados.
¿Qué sistemas están más expuestos a esta vulnerabilidad?
Para que se produzca una acción de este tipo, esta vulnerabilidad requiere que el usuario haya iniciado una sesión y visite un sitio web. Por lo tanto, cualquier sistema en el que se utilice Internet Explorer de forma habitual, como estaciones de trabajo y servidores de Terminal Server, está expuesto a estas vulnerabilidades.
Estoy ejecutando Internet Explorer para Windows Server 2003. ¿Soluciona esto la vulnerabilidad?
Sí. De forma predeterminada, Internet Explorer en Windows Server 2003 se ejecuta en un modo restringido conocido como Configuración de seguridad mejorada. La configuración de seguridad mejorada es un grupo de valores preconfigurados de Internet Explorer que pueden reducir la posibilidad de que los usuarios o los administradores descarguen y ejecuten contenido web especialmente diseñado en un servidor. Esto constituye un factor atenuante para sitios web que no ha agregado a la zona de sitios de confianza de Internet Explorer. Consulte también la guía de administración de la configuración de seguridad mejorada de Internet Explorer.
¿Cómo funciona esta actualización?
La actualización elimina la vulnerabilidad al modificar el modo en que Internet Explorer trata los errores cuando se efectúan llamadas a objetos que ya no están inicializados.
En el momento de publicar este boletín de seguridad, ¿se había divulgado ya esta vulnerabilidad?
No. Microsoft recibió información acerca de esta vulnerabilidad a través de una fuente responsable.
En el momento de publicar este boletín de seguridad, ¿había recibido Microsoft algún informe que indicase que se estaba usando esta vulnerabilidad?
No. En el momento de publicar este boletín de seguridad, Microsoft no había recibido ninguna información que indicara que esta vulnerabilidad se hubiera utilizado para atacar a clientes y no tenía constancia de que se hubiera publicado código demostrativo.
Vulnerabilidad de daños en la memoria relacionada con objetos DHTML (CVE-2007-5347) |
Existe una vulnerabilidad de ejecución remota de código en la forma en que Internet Explorer muestra una página Web que contiene llamadas de método inesperadas para objetos HTML. Esto puede provocar que la memoria del sistema se dañe de manera que un atacante tenga la posibilidad de ejecutar código arbitrario si un usuario visita un sitio Web especialmente diseñado. Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario que ha iniciado sesión.
Para ver esta vulnerabilidad como una entrada estándar en la lista de vulnerabilidades y exposiciones comunes, consulte CVE-2007-5347.
Factores atenuantes para la vulnerabilidad de daños en la memoria relacionada con objetos DHTML (CVE-2007-5347) |
El factor atenuante hace referencia a una opción, configuración común o práctica recomendada general, existente en un estado predeterminado, que podría reducir la gravedad de una vulnerabilidad. Los siguientes factores atenuantes podrían ser útiles en su situación:
| • | En el caso de un ataque basado en Web, el intruso podría alojar un sitio web que contuviera una página web para aprovechar esta vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan o alojan contenido proporcionado por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. Por lo tanto, tendría que atraerlos al sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio web del atacante. |
| • | Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos. |
| • | De forma predeterminada, todas las versiones admitidas de Microsoft Outlook y Microsoft Outlook Express abren los mensajes de correo electrónico HTML en la zona Sitios restringidos. La zona Sitios restringidos ayuda a reducir los ataques que podrían aprovechar esta vulnerabilidad al impedir que se usen controles ActiveX y secuencias de comandos ActiveX cuando se lee correo electrónico HTML. Sin embargo, si un usuario hace clic en un vínculo de un mensaje de correo electrónico, aún podría ser vulnerable a este problema ante la posibilidad de un ataque basado en Web. |
| • | De forma predeterminada, Internet Explorer en Windows Server 2003 se ejecuta en un modo restringido conocido como Configuración de seguridad mejorada. Este modo establece el nivel de seguridad para la zona Internet en Alto. Esto constituye un factor atenuante para sitios web que no ha agregado a la zona de sitios de confianza de Internet Explorer. Vea la subsección P+F correspondiente a esta sección de vulnerabilidad para obtener más información acerca de la configuración de seguridad mejorada de Internet Explorer. |
Soluciones provisionales para la vulnerabilidad de daños en la memoria relacionada con objetos DHTML (CVE-2007-5347) |
La solución provisional hace referencia a un cambio de opción o configuración que no corrige la vulnerabilidad subyacente pero ayuda a bloquear los tipos de ataque conocidos antes de aplicar la actualización. Microsoft ha probado las soluciones provisionales y señala en la explicación si una solución provisional reduce la funcionalidad
| • | Configure Internet Explorer de forma que se pregunte al usuario antes de ejecutar o deshabilitar secuencias de comandos ActiveX en la zona de seguridad de Internet e Intranet local Puede contribuir a la protección contra esta vulnerabilidad si cambia la configuración para que se pregunte al usuario antes de ejecutar o deshabilitar secuencias de comandos ActiveX en la zona de seguridad de Internet e Intranet local. Para ello, siga estos pasos:
Nota Al deshabilitar las secuencias de comandos ActiveX en las zonas de seguridad de Internet e Intranet local, es posible que algunos sitios web no funcionen correctamente. Si tiene dificultades para utilizar un sitio web después de cambiar esta configuración y está seguro de que el sitio es seguro de utilizar, puede agregarlo a la lista de sitios de confianza. Esto permitirá que el sitio funcione correctamente. Agregar sitios en los que confía a la zona de sitios de confianza de Internet Explorer Después de configurar Internet Explorer para exigir que le pregunte antes de ejecutar controles y secuencias de comandos ActiveX en las zonas Internet e Intranet local, puede agregar sitios en los que confíe a la zona Sitios de confianza de Internet Explorer. De esta forma, podrá seguir utilizando como siempre los sitios web de confianza al tiempo que colabora para protegerse de este ataque en los sitios en los que no confía. Se recomienda agregar solamente sitios en los que confíe a la zona Sitios de confianza. Para ello, siga estos pasos:
Nota Agregue todos los sitios de confianza para los que tenga la certeza de que no realizarán ninguna acción perjudicial en su equipo. En concreto, hay dos sitios que es aconsejable agregar: "*.windowsupdate.microsoft.com" y "*.update.microsoft.com" (sin las comillas). Se trata de los sitios que alojarán la actualización y requieren de un control ActiveX para instalarla. Consecuencias de la solución provisional: Preguntar antes de ejecutar los controles ActiveX conlleva efectos secundarios. Muchos sitios web de Internet o una intranet utilizan secuencias de comandos ActiveX para aportar funciones adicionales. Por ejemplo, un sitio de comercio electrónico en línea o el sitio de un banco pueden utilizar secuencias de comandos ActiveX para ofrecer menús, formularios de pedido o incluso movimientos de cuentas. Preguntar antes de ejecutar secuencias de comandos ActiveX (Pedir datos) es una configuración global que afecta a todos los sitios de Internet e Intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, siga los pasos de la sección "Agregue sitios en los que confía a la zona de sitios de confianza de Internet Explorer". |
| • | Configurar las zonas de seguridad de Internet e Intranet local en “Alta”, de forma que se pregunte antes de ejecutar controles ActiveX y secuencias de comandos ActiveX en estas zonas Puede contribuir en la protección de esta vulnerabilidad si cambia la configuración de la zona de seguridad Internet para que se pregunte al usuario antes de ejecutar controles y secuencias de comandos ActiveX. Para ello, establezca la seguridad del explorador en Alta. Para aumentar el nivel de seguridad en Microsoft Internet Explorer, siga estos pasos:
Nota Si no hay visible un control deslizante, haga clic en Nivel predeterminado y, a continuación, mueva el control deslizante hacia Alta. Nota Al establecer el nivel en Alta, es posible que algunos sitios web no funcionen correctamente. Si tiene dificultades para utilizar un sitio web después de cambiar esta configuración y está seguro de que el sitio es seguro de utilizar, puede agregarlo a la lista de sitios de confianza. Esto permitirá que el sitio funcione correctamente, incluso con la configuración de seguridad en Alto. Consecuencias de la solución provisional: Preguntar antes de ejecutar los controles ActiveX o las secuencias de comandos ActiveX tiene algunas repercusiones. Muchos sitios web de Internet o de una intranet utilizan controles ActiveX o secuencias de comandos ActiveX para aportar funciones adicionales. Por ejemplo, un sitio de comercio electrónico en línea o el sitio de un banco pueden utilizar controles ActiveX para ofrecer menús, formularios de pedido o incluso movimientos de cuentas. Preguntar antes de ejecutar controles ActiveX o secuencias de comandos ActiveX es una opción de configuración global que afecta a todos los sitios de Internet e intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar los controles ActiveX o las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, siga los pasos de la sección "Agregue sitios en los que confía a la zona de sitios de confianza de Internet Explorer". Agregar sitios en los que confía a la zona de sitios de confianza de Internet Explorer Después de configurar Internet Explorer para exigir que le pregunte antes de ejecutar controles y secuencias de comandos ActiveX en las zonas Internet e Intranet local, puede agregar sitios en los que confíe a la zona Sitios de confianza de Internet Explorer. De esta forma, podrá seguir utilizando como siempre los sitios web de confianza al tiempo que colabora para protegerse de este ataque en los sitios en los que no confía. Se recomienda agregar solamente sitios en los que confíe a la zona Sitios de confianza. Para ello, siga estos pasos:
Nota Agregue todos los sitios de confianza para los que tenga la certeza de que no realizarán ninguna acción perjudicial en su equipo. En concreto, hay dos sitios que es aconsejable agregar: *.windowsupdate.microsoft.com y *.update.microsoft.com. Se trata de los sitios que alojarán la actualización y requieren de un control ActiveX para instalarla. Consecuencias de la solución provisional: Preguntar antes de ejecutar los controles ActiveX o las secuencias de comandos ActiveX tiene algunas repercusiones. Muchos sitios web de Internet o de una intranet utilizan controles ActiveX o secuencias de comandos ActiveX para aportar funciones adicionales. Por ejemplo, un sitio de comercio electrónico en línea o el sitio de un banco pueden utilizar controles ActiveX para ofrecer menús, formularios de pedido o incluso movimientos de cuentas. Preguntar antes de ejecutar controles ActiveX o secuencias de comandos ActiveX es una opción de configuración global que afecta a todos los sitios de Internet e intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar los controles ActiveX o las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, siga los pasos de la sección "Agregue sitios en los que confía a la zona de sitios de confianza de Internet Explorer". |
Preguntas más frecuentes sobre la vulnerabilidad de daños en la memoria relacionada con objetos DHTML (CVE-2007-5347) |
¿Cuál es el alcance de esta vulnerabilidad?
Se trata de una vulnerabilidad de ejecución remota de código. Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario que ha iniciado sesión.
Si un usuario inicia sesión con derechos de usuario administrativos, un intruso que aprovechara esta vulnerabilidad podría lograr el control completo de un sistem