Haga clic aquí para instalar Silverlight*
LatinoaméricaCambiar|Todos los sitios de Microsoft
Microsoft TechNet
|Suscríbase|Descarga|Contáctenos|Simplified
   
Home Technet Seguridad >Boletines
 
Boletín de Seguridad MS03-033
Actualización de seguridad para Microsoft Data Access Components (823718)
 

Expuesto originalmente: 20 de Agosto de 2003

Resumen

Quién debería leer este boletín: Los clientes que utilicen Microsoft® Windows®

Alcance de la vulnerabilidad: Ejecución de cualquier código por parte de un intruso.

Gravedad máxima: Crítica

Recomendación: Los usuarios deberían aplicar la revisión de seguridad inmediatamente.

Software afectado:

·         Microsoft Data Access Components 2.5

·         Microsoft Data Access Components 2.6

·         Microsoft Data Access Components 2.7

Software no afectado:

·         Microsoft Data Access Components 2.8

Boletín para el usuario final: texto en: 

www.microsoft.com/latam/technet/seguridad/boletines/MS03-033/MS03-033-USER.asp

 

 
 
Detalles técnicos
 

 

 

Descripción técnica:
 

Microsoft Data Access Components (MDAC) es una colección de componentes usados para proporcionar conectividad de bases de datos en plataformas Windows. MDAC es una tecnología ubicua y es probable que esté presente en la mayor parte de los sistemas Windows:  

  • Se incluye de forma predeterminada como parte de Windows XP, Windows 2000, Windows Millennium y Windows Server 2003.

  • Puede descargarse como tecnología independiente.

  • También la incluyen o instalan muchos otros productos y tecnologías. Por ejemplo, MDAC se incluye en Windows NT® 4.0 Option Pack y en SQL Server 2000, y algunos de sus componentes forman parte de Internet Explorer incluso aunque no se instale el propio MDAC.

 

MDAC ofrece la funcionalidad subyacente para diversas operaciones de base de datos, como son la conexión de bases de datos remotas y la devolución de datos a un cliente. Cuando un equipo cliente de una red intenta ver una lista de los servidores Microsoft SQL Server que residen en ella, envía una solicitud de difusión a todos los dispositivos de la red. Debido a un defecto de un componente de MDAC concreto, un intruso podría responder mediante un paquete con formato incorrecto que ocasione la saturación de un búfer.

           

Un intruso que consiguiera sacar provecho de este defecto podría conseguir el mismo grado de privilegios en el sistema que la aplicación que iniciara la solicitud de difusión mencionada anteriormente. Esto podría incluir la creación, modificación o eliminación de datos en el sistema, su reconfiguración, el formateo de la unidad de disco duro o la ejecución de los programas que prefiriera el intruso.

 

La revisión (parche) de este boletín reemplaza a las del boletín de seguridad MS02-040. Los clientes deberían instalar esta revisión ya que contiene la corrección del problema del boletín MS02-040 además de otras revisiones adicionales de seguridad.

 

Factores atenuantes:

·          MDAC versión 2.8 no contiene el defecto que se corrige en este boletín.

Gravedad:  

MDAC 2.5 Importante
MDAC 2.6 Importante
MDAC 2.7 Importante

 

Esta clasificación está basada en los tipos de sistemas afectados por esta vulnerabilidad, en sus patrones típicos de implementación y en el efecto que podría tener un ataque que aproveche dicha vulnerabilidad.

 

Identificador de vulnerabilidad: CAN-2003-0353

 

Versiones probadas:
 

Microsoft ha realizado pruebas con las versiones de Microsoft Data Access Components 2.5, 2.6, 2.7 y 2.8 para determinar si este punto vulnerable podría afectarlas. Las versiones anteriores ya no tienen soporte y pueden, o no, verse afectadas.

 

 
 
Preguntas más frecuentes
 

 

¿Incluye esta revisión alguna corrección más?

Sí, esta revisión incluye la solución de la vulnerabilidad de seguridad que se describe en el boletín MS02-040. Los clientes que deseen usar la revisión de MS02-040 deberían instalar la primera, ya que la sustituye.

¿Cuál es el alcance de esta vulnerabilidad?

El motivo de esta vulnerabilidad es una saturación del búfer. Un intruso que consiguiera sacar provecho de este defecto conseguiría el mismo grado de permisos que el proceso con la saturación del búfer. En el peor de los casos, si el proceso se ejecuta con derechos de administrador, el intruso podría obtener un control total sobre un sistema afectado y, por lo tanto, la capacidad de emprender cualquier acción que el usuario legítimo pudiera realizar. Esto podría incluir la creación, modificación o eliminación de datos en el sistema, su reconfiguración, el formateo de la unidad de disco duro o la ejecución de los programas que prefiera el intruso.

¿Cuál es la causa de esta vulnerabilidad?

Esta vulnerabilidad se debe a un búfer sin comprobar en un componente de MDAC específico. Si un intruso consiguiera sacar provecho de ella, podría obtener un control total sobre el sistema y emprender cualquier acción que el proceso legítimo pudiera llevar a cabo.

¿Qué es Microsoft Data Access Components?

Microsoft Data Access Components (MDAC) es una colección de componentes que facilitan a los programas el acceso a las bases de datos y el tratamiento de la información que contienen. Las bases de datos actuales pueden tener una gran diversidad de formatos (por ejemplo, bases de datos de SQL, de Access, archivos XML , etcétera) y encontrarse en muchos tipos de ubicaciones (por ejemplo, en el sistema local o en un servidor de bases de datos remoto). MDAC proporciona un conjunto consolidado de funciones para trabajar con todas ellas de manera coherente. (En MSDN puede encontrar una excelente explicación de MDAC y los componentes que proporciona.)

¿Qué problema tiene el componente de MDAC afectado?

El cliente no valida apropiadamente los datos contenidos en el paquete.

¿Tengo MDAC en mi sistema?

La respuesta suele ser que sí. MDAC es una tecnología ubicua:

  • Se instala como parte de Windows XP, Windows Millennium Edition, Windows 2000 y Windows Server 2003. (Sin embargo, hay que hacer notar que la versión instalada por Windows Server 2003 no presenta esta vulnerabilidad)
  • Puede descargarse desde el sitio Web de Microsoft.
  • La instalan otras muchas aplicaciones de Microsoft. Por mencionar sólo algunos casos, se instala como parte de Windows NT 4.0 Option Pack, Microsoft Access y SQL Server.
  • Algunos de los componentes de MDAC se incluyen en otras tecnologías de Microsoft. Por ejemplo, Internet Explorer incluye algunas funciones de MDAC.

También hay una herramienta que puede ayudarle a determinar la versión de MDAC que se ejecuta en un sistema. En el artículo de Microsoft Knowledge Base 307255 (en inglés) se describe esta herramienta y cómo usarla.

¿Qué podría hacer un intruso que aprovechara esta vulnerabilidad?

Esta vulnerabilidad podría permitir a un intruso responder a la solicitud de un sistema cliente mediante un paquete UDP con un formato especial incorrecto, con lo que ocasionaría la saturación de un búfer.

Si un intruso consiguiera sacar provecho de esta vulnerabilidad, podría emprender en el sistema cualquier acción no deseada que el proceso donde se produce la saturación pudiera realizar.

¿Cómo podría aprovechar un intruso esta vulnerabilidad?

Un intruso que persiguiera aprovechar esta vulnerabilidad podría escuchar en una red a un equipo cliente para solicitar la enumeración de todos los sistemas SQL Server de la misma. Al responder a esa solicitud mediante un paquete con un formato incorrecto, el intruso podría conseguir la saturación de un búfer en un componente específico de MDAC en el sistema cliente.

¿Cómo funciona esta revisión de seguridad?

Para eliminar la vulnerabilidad, la revisión valida que el número de bytes especificados en la respuesta sea apropiado.
 

 

Disponibilidad de la revisión de seguridad

Lugares de descarga de esta revisión de seguridad

 
 
Información adicional acerca de esta revisión de seguridad
 

 

 

Plataformas de instalación:

  • Esta revisión puede instalarse en los sistemas que ejecuten:

  • MDAC 2.5 Service Pack 2

  • MDAC 2.5 Service Pack 3

  • MDAC 2.6 Service Pack 2

  • MDAC 2.7

  • MDAC 2.7 Service Pack 1

Inclusión en futuros Service Packs:

La solución a este problema se incluirá en MDAC 2.5 Service Pack 5 y MDAC 2.7 Service Pack 2.

Reinicio necesario:

 

¿Se puede desinstalar esta revisión de seguridad? No

 

Revisiones de seguridad reemplazadas por ésta:

Esta revisión reemplaza a la suministrada en el boletín de seguridad MS02-040.

Comprobación de la instalación de la revisión de seguridad:

·         En el artículo 823718 de Microsoft Knowledge Base se ofrece información de archivos que se puede usar para comprobar la instalación de la revisión.

Advertencias:

 

Ninguna

 

Versiones traducidas:
Existen versiones traducidas de esta revisión de seguridad en las ubicaciones indicadas en "Disponibilidad de la revisión de seguridad".

 

Obtención de otras revisiones de seguridad:
Las revisiones de seguridad para otros problemas están disponibles en las ubicaciones siguientes:

·   Las revisiones de seguridad están disponibles en Centro de descargas de Microsoft, y se pueden encontrar con mayor facilidad mediante una búsqueda de la palabra clave "security_patch".

 

·   Las revisiones de seguridad para plataformas de usuarios están disponibles en el sitio Web WindowsUpdate.

 

Información adicional:
 

Agradecimientos:

Microsoft agradece a Aaron C. Newman de Application Security, Inc. la comunicación de este problema y su cooperación para proteger a los clientes.

Soporte técnico:

 

·        Este problema se trata en el artículo 823718 de Microsoft Knowledge Base. Los artículos de la Knowledge Base se encuentran en el sitio Web de Soporte técnico en línea de Microsoft.

 

·        Puede solicitar soporte técnico en los Servicios de soporte técnico de Microsoft. Las llamadas de soporte técnico relacionadas con las revisiones de seguridad son gratuitas.

 

Recursos de seguridad: La Web de recursos de seguridad de Microsoft proporciona información adicional sobre la seguridad de los productos de Microsoft.

 

Renuncia:
La información proporcionada en la Knowledge Base de Microsoft se suministra "tal cual", sin garantía de ningún tipo. Microsoft renuncia al otorgamiento de toda otra garantía, tanto expresa como implícita, incluidas las garantías de comerciabilidad e idoneidad para un determinado fin. Ni Microsoft Corporation ni sus proveedores se responsabilizarán en ningún caso de daños directos, indirectos, incidentales consecuenciales, pérdida de beneficios o daños especiales, aun en el caso de que se hubiera informado a Microsoft Corporation o a sus proveedores de la posibilidad de dichos daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales y, por tanto, la limitación anterior puede no serle aplicable.

 

Revisiones:

  • V1.0 (20 de Agosto de 2003): Creación del boletín

 


 

 
 
Recursos
Webcasts de Seguridad
Newsletter de Seguridad
Boletines de Seguridad
Glosario español
Actualice su PC
 
Comunidad
Learning Center
Videos de Seguridad
Weblogs
 
 

©2015 Microsoft Corporation. Todos los derechos reservados. Póngase en contacto con nosotros |Aviso Legal |Marcas registradas |Privacidad
Microsoft