Haga clic aquí para instalar Silverlight*
LatinoaméricaCambiar|Todos los sitios de Microsoft
Microsoft TechNet
|Suscríbase|Descarga|Contáctenos|Simplified
   
Home Technet Seguridad >Boletines
 
Boletín de Seguridad MS03-025
Un defecto en el control de los mensajes en Windows a través del Administrador de utilidades podría permitir la elevación de privilegios (822679)
 

Expuesto originalmente: 9 de Julio de 2003
Actualización: 10 de Julio de 2003

Resumen

 

Quién debería leer este boletín: Los clientes que utilicen Microsoft® Windows® 2000.

Alcance de la vulnerabilidad: Elevación de privilegio

Gravedad máxima: Importante

Recomendación: Los usuarios deberían instalar la revisión de seguridad lo antes posible.

Boletín para el usuario final: texto en:  www.microsoft.com/latam/technet/seguridad/boletines/MS03-025/MS03-025-USER.asp

 

Software afectado:

·          Microsoft Windows 2000

Software no afectado:

·          Microsoft Windows Me

·          Microsoft Windows NT Server 4.0

·          Microsoft Windows NT Server, Terminal Services Edition

·          Microsoft Windows 2000

·          Microsoft Windows XP

·          Microsoft Windows Server 2003

 
 
Detalles técnicos
 

 

 

Descripción técnica:

El sistema operativo Microsoft Windows 2000 viene equipado con una serie de características de Accessibilidad. Se trata de características diseñadas con una tecnología especial para que los usuarios con discapacidades puedan hacer uso de todas las funciones del sistema operativo. La característica de accesibilidad se puede habilitar o deshabilitar por medio de accesos directos integrados en el sistema operativo o mediante el Administrador de utilidades. El Administrador de utilidades es un programa que permite a los usuarios comprobar el estado de los programas de accesibilidad (el Ampliador de Microsoft, el Narrador, el Teclado en pantalla) y ejecutarlos o detenerlos.

Se ha detectado un defecto en la forma en que el Administrador de utilidades controla los mensajes de Windows. Los mensajes de Windows incorporan un mecanismo para que los procesos interactivos reaccionen ante las intervenciones de los usuarios (por ejemplo, las pulsaciones de teclas o los movimientos del mouse) y se comuniquen con otros procesos interactivos. Existe una vulnerabilidad en la seguridad porque el control que proporciona al usuario la lista de opciones de accesibilidad no valida correctamente los mensajes de Windows que recibe. Es posible que un proceso en el escritorio interactivo utilice un mensaje determinado de Windows para provocar que el proceso del Administrador de utilidades ejecute una función de devolución de llamada en una dirección de su elección. Puesto que el proceso del Administrador de utilidades se ejecuta en un nivel de privilegios más elevado que el primer proceso, esto proporcionaría al primer proceso la posibilidad de ejecutar estos privilegios superiores.

De forma predeterminada, el Administrador de utilidades contiene controles que se ejecutan en el escritorio interactivo con privilegios LocalSystem. En consecuencia, un atacante con los conocimientos suficientes para iniciar interactivamente la sesión en un sistema, podría ejecutar un programa que enviara al proceso del Administrador de utilidades un mensaje de Windows especialmente diseñado, obligándole a realizar la acción especificada por el intruso. Esto conferiría al atacante el control total del sistema.

Al no poder realizar el ataque remotamente, el intruso debería contar con los recursos suficientes para iniciar interactivamente la sesión en el sistema.

Factores atenuantes:

  • Para aprovechar este punto vulnerable, el usuario necesitaría unas credenciales de inicio de sesión válidas. Esta vulnerabilidad no puede aprovecharse remotamente.
  • El riesgo en los servidores correctamente protegidos es mínimo en relación con esta vulnerabilidad. En los procedimientos recomendados estándar se aconseja permitir únicamente a los administradores de confianza iniciar la sesión de forma interactiva en dichos sistemas; sin esos privilegios, el atacante no podría aprovechar la vulnerabilidad.

Gravedad:  

 

Windows 2000

Importante

 

Esta clasificación está basada en los tipos de sistemas afectados por esta vulnerabilidad, en sus patrones típicos de implementación y en el efecto que podría tener un ataque que aproveche dicha vulnerabilidad.

 

Identificador de vulnerabilidad:

 

Versiones probadas:
 

Microsoft ha realizado pruebas con Windows Me, Windows NT Server 4.0, Windows NT Server, Terminal Server Edition, Windows 2000, Windows XP y Windows Server 2003 para determinar si están afectados por estas vulnerabilidades. Las versiones anteriores ya no reciben soporte técnico y pueden o no verse afectadas.

 

 
 
Preguntas más frecuentes
 

 

¿Cuál es el alcance de esta vulnerabilidad?

Ésta es una vulnerabilidad de elevación de privilegios . Un atacante que consiga hacer uso de esta vulnerabilidad podría disponer de privilegios no garantizados en un sistema. En tal caso, el atacante podría adquirir privilegios completos de administración y, en consecuencia, llevar a cabo cualquier acción que quisiera en la máquina como, por ejemplo, agregar, eliminar o modificar datos del sistema, crear o eliminar cuentas de usuarios y agregar cuentas al grupo de administradores locales.

Solamente los atacantes con las credenciales adecuadas para iniciar la sesión interactivamente en el sistema pueden aprovechar este punto vulnerable. Como medida de prevención, es aconsejable que los usuarios sin privilegios no puedan iniciar sesiones interactivamente en los servidores más importantes de la empresa. Si se respeta esta medida, estos tipos de servidores estarán a salvo de esta vulnerabilidad. En cambio, los sistemas con más riesgos de sufrir un ataque serán las estaciones de trabajo y los servidores de Servicios de Terminal Server.

¿Cuál es la causa de esta vulnerabilidad?

Esta vulnerabilidad está presente porque existe la posibilidad de que un usuario sin privilegios pueda hacer que un proceso con privilegios elevados ejecute algún tipo de código en un escritorio interactivo mediante el Administrador de utilidades en combinación con un mensaje de Windows especialmente diseñado.

¿Qué son las utilidades de accesibilidad?

Microsoft asume su responsabilidad de desarrollar tecnología que esté al alcance y pueda ser utilizada por cualquier usuario, incluidos los usuarios con algún tipo de discapacidad. Es por ello que todos los productos de Microsoft se diseñan con funciones y utilidades que permiten que las personas con discapacidades puedan hacer uso de todas las características incluidas en los productos. Estas utilidades reciben el nombre de Utilidades de accesibilidad.

Windows 2000 incorpora varias utilidades y tecnologías que ofrecen funciones de accesibilidad. En la siguiente dirección encontrará una lista de todas estas utilidades:

www.microsoft.com/enable/products/windows2000/features.aspx

¿Dónde documenta Microsoft las opciones de Accesibilidad disponibles en sus productos?

Para obtener más información acerca de las opciones de accesibilidad de los productos de Microsoft, visite el sitio Web de accesibilidad de Microsoft en:

www.microsoft.com/enable/

¿Qué es el Administrador de utilidades?

El Administrador de utilidades es un programa que permite a los usuarios comprobar el estado de los programas de accesibilidad (el Ampliador de Microsoft, el Narrador, el Teclado en pantalla) y ejecutarlos o detenerlos.

¿Qué se entiende por un "escritorio"?

Por lo general, cuando mencionamos el término "escritorio" nos referimos al escritorio de Windows creado por el Explorador y que se muestra en la pantalla durante una sesión de Windows. De todas formas, en el contexto de la arquitectura de seguridad de Windows, el término "escritorio" tiene en realidad un significado distinto. Los escritorios encapsulan las ventanas y objetos relacionados en Windows para garantizar que un proceso está correctamente restringido para realizar sólo las actividades autorizadas. Para comprender mejor lo que es un escritorio y cómo funciona, es aconsejable que comencemos la explicación por la capa de granularidad situada por encima del escritorio, la estación de ventana.

¿Qué es una estación de ventana?

Una estación de ventana es un contenedor que contiene un portapapeles, información global y un conjunto de uno o varios escritorios. La estación de ventana asignada a la sesión de inicio de sesión del usuario interactivo también contiene el teclado, el mouse y el dispositivo de pantalla. La estación de ventana interactiva está visible al usuario y puede recibir entradas del usuario. Las demás estaciones de ventana no son interactivas, lo que significa que no están visibles al usuario y no pueden recibir entradas del usuario. Un proceso sólo puede estar asociado con un escritorio a la vez.

¿Qué es un escritorio interactivo?

Un escritorio es un contenedor que está incluido en una estación de ventana. Una estación de ventana puede contener varios escritorios.

Un escritorio tiene una superficie de pantalla lógica y contiene ventanas, menús y enlaces. Sólo los escritorios de la estación de ventana interactiva pueden verse y recibir la entrada del usuario. En la estación de ventana interactiva sólo un escritorio está activo a la vez. Este escritorio activo, conocido también como escritorio interactivo o escritorio de entrada, es el que está actualmente visible al usuario y el que recibe las entradas del usuario.

¿Qué son los mensajes de Windows?

Los procesos que se ejecutan en Windows interactúan con el sistema y otros procesos mediante mensajes. Por ejemplo, cada vez que el usuario pulsa una tecla del teclado, mueve el mouse o hace clic en un control como, por ejemplo, una barra de desplazamiento, Windows genera un mensaje, cuyo objetivo es avisar al programa de que se ha producido una acción del usuario y proporcionar los datos de dicha acción al programa. De la misma forma, un programa puede generar mensajes para que las distintas ventanas que controla se comuniquen entre ellas y se asignen tareas.

¿Qué problema existe con la forma en que el Administrador de utilidades de Windows 2000 controla los mensajes de Windows?

En realidad, el defecto se encuentra en la forma en que el Administrador de utilidades controla los mensajes cuando presenta al usuario una lista de las funciones de accesibilidad disponibles. El Administrador de utilidades no valida correctamente los mensajes de Windows que recibe. Si el Administrador de utilidades se está ejecutando en el sistema, es posible que otro proceso que también se esté ejecutando en el sistema envíe un mensaje especialmente diseñado al proceso del Administrador de utilidades en el escritorio interactivo. El primer proceso podría establecer la dirección de la función de devolución de llamada, lo que provocaría que el segundo proceso ejecutara la función de devolución de llamada especificado por el primer proceso.

¿Por qué supone este defecto una vulnerabilidad en la seguridad?

Básicamente, este defecto en el Administrador de utilidades permitiría que un proceso del escritorio interactivo tomara el control del Administrador de utilidades. Si los privilegios del segundo proceso son más elevados, el primer proceso podría utilizarlos.

¿Para qué puede utilizar un atacante esta vulnerabilidad?

Un atacante que consiguiera aprovechar esta vulnerabilidad podría, en primer lugar, ejecutar el Administrador de utilidades y, a continuación, crear un proceso que se encargaría de imponer las solicitudes al Administrador de utilidades cuando estuviera en ejecución. En las configuraciones predeterminadas de Windows 2000, el Administrador de utilidades está instalado pero no está en ejecución. El aprovechamiento de esta vulnerabilidad en esta situación permitiría al atacante obtener el control total del sistema.

¿Quién podría aprovechar esta vulnerabilidad?

Para aprovechar este punto vulnerable, el atacante debería iniciar la sesión en el sistema, ejecutar el Administrador de utilidades, carga algún programa (uno que enviara un mensaje al Administrador de utilidades y que especificara una función de devolución de llamada que realizara alguna tarea), y ejecutarlo.

¿Qué versiones del Administrador de utilidades están expuestos a este ataque?

Esta vulnerabilidad sólo se encuentra en el Administrador de utilidades de Windows 2000. Este problema no afecta a Windows NT Server 4.0, Windows XP y Windows Server 2003.

¿Qué sistemas están más expuestos a esta vulnerabilidad?

En general, los principales damnificados son las estaciones de trabajo y los servidores de Servicios de Terminal Server. Los servidores sólo corren peligro si se ha permitido que usuarios sin privilegios inicien la sesión en ellos y ejecuten programas. Esta práctica no es en absoluto aconsejable.

¿Puede aprovecharse esta vulnerabilidad desde Internet?

No, puesto que el atacante debería iniciar la sesión en el sistema que desea atacar. Es imposible cargar y ejecutar remotamente un programa en el escritorio interactivo.

¿Cómo funciona esta revisión de seguridad?

La revisión de seguridad corrige la vulnerabilidad cambiando la forma en que el Administrador de utilidades controla los mensajes de Windows para que los mensajes se validen correctamente y para que no pueda llamarse a una función de devolución de llamada.
 

 

Disponibilidad de la revisión de seguridad

Lugares de descarga de esta revisión de seguridad

 

 
 
Información adicional acerca de esta revisión de seguridad
 

 

 

Plataformas de instalación:

  • La revisión de Windows 2000 puede instalarse en los sistemas que ejecutan Windows 2000 Service Pack 3.
  • Además, la corrección para este problema está incluida en Windows 2000 Service Pack 4.

 

Reinicio necesario:

 

¿Se puede desinstalar esta revisión de seguridad?

 

Revisiones de seguridad anuladas por ésta: Ninguna.

 

Comprobación de la instalación de la revisión de seguridad:

  • Windows 2000:

    Para comprobar que la revisión de seguridad se ha instalado en el equipo, confirme que se ha creado la siguiente clave del Registro:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP4\KB822679

    Para comprobar los archivos individuales, utilice la información de fecha, hora y versión de la siguiente clave del Registro:
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates\Windows 2000\SP4\KB822679\Filelist

Advertencias: Ninguna.

 

Versiones traducidas:
Existen versiones traducidas de esta revisión de seguridad en las ubicaciones indicadas en "Disponibilidad de la revisión de seguridad".

 

Obtención de otras revisiones de seguridad:
Las revisiones de seguridad para otros problemas están disponibles en las ubicaciones siguientes:

·        Las revisiones de seguridad están disponibles en Microsoft Download Center, y se pueden encontrar con mayor facilidad mediante una búsqueda de la palabra clave "security_patch".

·        Las revisiones de seguridad para plataformas de usuarios están disponibles en el sitio Web WindowsUpdate.

 

 

Otra información:

 

Soporte técnico:

·        El artículo 822679 de la Knowledge Base de Microsoft trata este problema y estará disponible aproximadamente 24 horas después de la publicación de este boletín. Los artículos de la Knowledge Base se encuentran en el sitio Web de Soporte técnico en línea de Microsoft.

·        Puede solicitar soporte técnico en los Servicios de soporte técnico de Microsoft. Las llamadas de soporte técnico relacionadas con las revisiones de seguridad son gratuitas.

 

Recursos de seguridad: La Web de recursos de seguridad de Microsoft proporciona información adicional sobre la seguridad de los productos de Microsoft.

 

Renuncia:
La información proporcionada en la Knowledge Base de Microsoft se suministra "tal cual", sin garantía de ningún tipo. Microsoft renuncia al otorgamiento de toda otra garantía, tanto expresa como implícita, incluidas las garantías de comerciabilidad e idoneidad para un determinado fin. Ni Microsoft Corporation ni sus proveedores se responsabilizarán en ningún caso de daños directos, indirectos, incidentales consecuenciales, pérdida de beneficios o daños especiales, aun en el caso de que se hubiera informado a Microsoft Corporation o a sus proveedores de la posibilidad de dichos daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales y, por tanto, la limitación anterior puede no serle aplicable.

 

Revisiones:

  • V1.0 (9 de julio de 2003): Creación del boletín

  • V1.1 (10 de julio de 2003): Modificadas las claves de registro

 


 

 
 
Recursos
Webcasts de Seguridad
Newsletter de Seguridad
Boletines de Seguridad
Glosario español
Actualice su PC
 
Comunidad
Learning Center
Videos de Seguridad
Weblogs
 
 

©2016 Microsoft Corporation. Todos los derechos reservados. Póngase en contacto con nosotros |Aviso Legal |Marcas registradas |Privacidad
Microsoft