Boletín de seguridad de Microsoft MS08-078 – Crítico

En el caso de un ataque basado en web, el intruso podría alojar un sitio web que contuviera una página web para aprovechar esta vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan o alojan contenido o anuncios proporcionados por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. Por lo tanto, tendría que atraerlos al sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio web del atacante.

Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.

De forma predeterminada, el modo protegido en Internet Explorer 7 e Internet Explorer 8 Beta 2 en Windows Vista y posterior ayuda a proteger a los usuarios y sus sistemas de descargas malintencionadas al restringir las solicitudes para iniciar otro programa o para guardar archivos sin el consentimiento del usuario. Esto incluye los archivos y la configuración del usuario o del sistema.

Configure las zonas de seguridad de Internet e Intranet local en "Alta", de forma que se pregunte antes de ejecutar controles ActiveX y secuencias de comandos ActiveX en estas zonas

Puede contribuir en la protección del aprovechamiento de esta vulnerabilidad si cambia la configuración de la zona de seguridad Internet para que se pregunte al usuario antes de ejecutar controles y secuencias de comandos ActiveX. Para ello, establezca la seguridad del explorador en Alta.

Para aumentar el nivel de seguridad en Internet Explorer, siga estos pasos:

Nota Si no hay visible un control deslizante, haga clic en Nivel predeterminado y, a continuación, mueva el control deslizante hacia Alta.

Nota Al establecer el nivel en Alta, es posible que algunos sitios web no funcionen correctamente. Si tiene dificultades para utilizar un sitio web después de cambiar esta configuración y está seguro de que el sitio es seguro de utilizar, puede agregarlo a la lista de sitios de confianza. Esto permitirá que el sitio funcione correctamente, incluso con la configuración de seguridad en Alto.

Consecuencias de la solución provisional. Preguntar antes de ejecutar los controles ActiveX o las secuencias de comandos ActiveX tiene algunas repercusiones. Muchos sitios web de Internet o de una intranet utilizan controles ActiveX o secuencias de comandos ActiveX para aportar funciones adicionales. Por ejemplo, un sitio de comercio electrónico en línea o el sitio de un banco pueden utilizar controles ActiveX para ofrecer menús, formularios de pedido o incluso movimientos de cuentas. Preguntar antes de ejecutar controles ActiveX o secuencias de comandos ActiveX es una opción de configuración global que afecta a todos los sitios de Internet e intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar los controles ActiveX o las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, siga los pasos de la sección "Agregue sitios en los que confía a la zona de sitios de confianza de Internet Explorer".

Agregar sitios en los que confía a la zona de sitios de confianza de Internet Explorer

Después de configurar Internet Explorer para exigir que le pregunte antes de ejecutar controles y secuencias de comandos ActiveX en las zonas Internet e Intranet local, puede agregar sitios en los que confíe a la zona Sitios de confianza de Internet Explorer. De esta forma, podrá seguir utilizando como siempre los sitios web de confianza al tiempo que colabora para protegerse de este ataque en los sitios en los que no confía. Se recomienda agregar solamente sitios en los que confíe a la zona Sitios de confianza.

Para ello, siga estos pasos:

Nota Agregue todos los sitios de confianza para los que tenga la certeza de que no realizarán ninguna acción perjudicial en su equipo. En concreto, hay dos sitios que es aconsejable agregar: *.windowsupdate.microsoft.com y *.update.microsoft.com. Se trata de los sitios que alojarán la actualización y requieren de un control ActiveX para instalarla.

Configure Internet Explorer de forma que se pregunte al usuario antes de ejecutar o deshabilitar secuencias de comandos ActiveX en la zona de seguridad de Internet e Intranet local

Puede contribuir a la protección contra el aprovechamiento de esta vulnerabilidad si cambia la configuración para que se pregunte al usuario antes de ejecutar o deshabilitar secuencias de comandos ActiveX en la zona de seguridad de Internet e Intranet local. Para ello, siga estos pasos:

Nota Al deshabilitar las secuencias de comandos ActiveX en las zonas de seguridad de Internet e Intranet local, es posible que algunos sitios web no funcionen correctamente. Si tiene dificultades para utilizar un sitio web después de cambiar esta configuración y está seguro de que el sitio es seguro de utilizar, puede agregarlo a la lista de sitios de confianza. Esto permitirá que el sitio funcione correctamente.

Consecuencias de la solución temporal.Preguntar antes de ejecutar secuencias de comandos ActiveX conlleva efectos secundarios. Muchos sitios web de Internet o una intranet utilizan secuencias de comandos ActiveX para aportar funciones adicionales. Por ejemplo, un sitio de comercio electrónico en línea o el sitio de un banco pueden utilizar secuencias de comandos ActiveX para ofrecer menús, formularios de pedido o incluso movimientos de cuentas. Preguntar antes de ejecutar secuencias de comandos ActiveX (Pedir datos) es una configuración global que afecta a todos los sitios de Internet e Intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, siga los pasos de la sección "Agregue sitios en los que confía a la zona de sitios de confianza de Internet Explorer".

Agregar sitios en los que confía a la zona de sitios de confianza de Internet Explorer

Después de configurar Internet Explorer para exigir que le pregunte antes de ejecutar controles y secuencias de comandos ActiveX en las zonas Internet e Intranet local, puede agregar sitios en los que confíe a la zona Sitios de confianza de Internet Explorer. De esta forma, podrá seguir utilizando como siempre los sitios web de confianza al tiempo que colabora para protegerse de este ataque en los sitios en los que no confía. Se recomienda agregar solamente sitios en los que confíe a la zona Sitios de confianza.

Para ello, siga estos pasos:

Nota Agregue todos los sitios de confianza para los que tenga la certeza de que no realizarán ninguna acción perjudicial en su equipo. En concreto, hay dos sitios que es aconsejable agregar: *.windowsupdate.microsoft.com y *.update.microsoft.com. Se trata de los sitios que alojarán la actualización y requieren de un control ActiveX para instalarla.

Deshabilitar la funcionalidad de isla XML

Advertencia Si utiliza el Editor del Registro incorrectamente, puede provocar problemas graves que conlleven la reinstalación del sistema operativo. Microsoft no le garantiza que pueda resolver los problemas provocados por el uso incorrecto del Editor del Registro. El uso del Editor del Registro es responsabilidad suya.

Cree una copia de seguridad de las claves del Registro con el siguiente comando desde un símbolo del sistema con privilegios elevados:

Regedit.exe /e Disable_XML_Island_backup.reg HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}

Para Windows Vista y Windows Server 2008 únicamente, tome la propiedad de [HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}], del siguiente modo:

Después, guarde lo siguiente en un archivo con la extensión .REG, por ejemplo Disable_XML_Island.reg:

Windows Registry Editor Version 5.00
[-HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}]

Ejecute Disable_XML_Island.reg con el comando siguiente en el símbolo del sistema con privilegios elevados:

Regedit.exe /s Disable_XML_Island.reg

Consecuencias de la solución provisional: Puede que el código XML incrustado en HTML no se represente correctamente.

Cómo deshacer la solución provisional

Restaure el estado original; para ello, ejecute el siguiente comando en el símbolo del sistema con privilegios elevados:

Regedit.exe /s Disable_XML_Island_backup.reg

Cómo deshacer la solución provisional presentada en el documento informativo sobre seguridad 961051

El documento informativo sobre seguridad de Microsoft 961051 presentó un método de cambio de registro manual para esta misma solución provisional. Si ha utilizado este método y ahora desea deshacer esta solución provisional, utilice el siguiente archivo del Registro:

Windows Registry Editor versión 5.00
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}]
@="MsxmlIsland"
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}\InProcServer32]
@=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,00,25,\
00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,6d,00,73,00,\
78,00,6d,00,6c,00,33,00,2e,00,64,00,6c,00,6c,00,00,00
"ThreadingModel"="Apartment"
[HKEY_CLASSES_ROOT\CLSID\{379E501F-B231-11D1-ADC1-00805FC752D8}\TypeLib]
@="{D63E0CE2-A0A2-11D0-9C02-00C04FC99C8E}"

Restringir el uso de OLEDB32.dll por parte de Internet Explorer con una ACL de nivel de integridad

Esta solución provisional sólo se aplica a Windows Vista y sistemas operativos más recientes y requiere que estén habilitados la solicitud UAC y el modo protegido, que es la configuración predeterminada.

Guarde el siguiente texto en un directorio temporal:

Para sistemas de 32 bits

Guárdelo en un archivo de texto denominado: "BlockAccess_x86.inf"

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"

Para sistemas de 64 bits

Guárdelo en un archivo de texto denominado: "BlockAccess_x64.inf"

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"
"%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NWNRNX;;;ME)"

Ejecute el siguiente comando desde el directorio temporal como administrador:

SecEdit /configure /db BlockAccess.sdb /cfg <archivo inf>

Después de que termine el comando, debe ver los siguientes mensajes:

La tarea se ha completado correctamente.
Consultar el registro %windir%\security\logs\scesrv.log para obtener información detallada.

Validar la solución provisional

Para validar que la solución provisional se ha aplicado correctamente, ejecute los siguientes comandos en un símbolo del sistema:

Para sistemas de 32 bits

icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"

Para sistemas de 64 bits

icacls "%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll"
icacls "%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll"

Cada vez que ejecute icacls, busque en el resultado la siguiente línea.

Etiqueta obligatoria\Nivel obligatorio medio:(NW,NR,NX)

Consecuencias de la solución provisional: Las aplicaciones ADO/OLE DB que se ejecuten en Internet Explorer, lo que no es habitual, dejarán de funcionar. La repercusión es mínima ya que todos los demás procesos que se ejecutan en el nivel de integridad medio o superior seguirán pudiendo cargar la dll y usándola.

Cómo deshacer la solución provisional

Guarde el siguiente texto en un directorio temporal:

Para sistemas de 32 bits

Guárdelo en un archivo de texto denominado: "unBlockAccess_x86.inf"

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"

Para sistemas de 64 bits

Guárdelo en un archivo de texto denominado: "unBlockAccess_x64.inf"

[Unicode]
Unicode=yes
[Version]
signature="$CHICAGO$"
Revision=1
[File Security]
"%ProgramFiles%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"
"%ProgramFiles(x86)%\Common Files\System\Ole DB\oledb32.dll",2,"S:(ML;;NW;;;ME)"

Ejecute el siguiente comando desde el directorio temporal como administrador:

SecEdit /configure /db UnblockAccess.sdb /cfg <archivo inf>

Después de que termine el comando, debe ver los siguientes mensajes:

La tarea se ha completado correctamente.
Consultar el registro %windir%\security\logs\scesrv.log para obtener información detallada.

Deshabilitar la funcionalidad de posición de fila de OLEDB32.dll

Advertencia Si utiliza el Editor del Registro incorrectamente, puede provocar problemas graves que conlleven la reinstalación del sistema operativo. Microsoft no le garantiza que pueda resolver los problemas provocados por el uso incorrecto del Editor del Registro. El uso del Editor del Registro es responsabilidad suya.

Cree una copia de seguridad de las claves del Registro con el siguiente comando desde un símbolo del sistema con privilegios elevados:

Regedit.exe /e Disable_Row_Position_backup.reg HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}

Para Windows Vista y Windows Server 2008 únicamente, tome la propiedad de [HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}], del siguiente modo:

Después, guarde lo siguiente en un archivo con la extensión .REG, por ejemplo Disable_Row_Position.reg:

Windows Registry Editor Version 5.00
[-HKEY_CLASSES_ROOT\CLSID\{2048EEE6-7FA2-11D0-9E6A-00A0C9138C29}]

Ejecute Disable_Row_Position.reg con el comando siguiente en el símbolo del sistema con privilegios elevados:

Regedit.exe /s Disable_Row_Position.reg

Consecuencias de la solución provisional: Todas las aplicaciones ADO que usen la propiedad RowPosition e información relacionada dejarán de funcionar. Todas las aplicaciones OLE DB que usen la biblioteca de posición de fila OLE DB dejarán de funcionar.

Cómo deshacer la solución provisional

Restaure el estado original; para ello, ejecute el siguiente comando en el símbolo del sistema con privilegios elevados:

Regedit.exe /s Disable_Row_Position_backup.reg

Cancelar el registro de OLEDB32.DLL

Ejecute los siguientes comandos desde un símbolo del sistema como administrador:

Consecuencias de la solución provisional: Todas las aplicaciones OLE DB y ADO dejarán de funcionar. Esto incluye todas las implementaciones ASP/ADO, servicios vinculados de SQL Server, aplicaciones .Net que usan el espacio de nombres System.Data.OLEDB y algunas funciones de Office que obtienen acceso a datos externos.

Cómo deshacer la solución provisional

Ejecute los siguientes comandos desde un símbolo del sistema como administrador:

Usar una ACL para deshabilitar OLEDB32.DLL

Ejecute los siguientes comandos desde un símbolo del sistema como administrador:

Consecuencias de la solución provisional: Todas las aplicaciones OLE DB y ADO dejarán de funcionar. Esto incluye todas las implementaciones ASP/ADO, servicios vinculados de SQL Server, aplicaciones .Net que usan el espacio de nombres System.Data.OLEDB y algunas funciones de Office que obtienen acceso a datos externos.

Cómo deshacer la solución provisional

Ejecute los siguientes comandos desde un símbolo del sistema como administrador:

Habilitar DEP para Internet Explorer 7 en WindowsVista y Windows Server 2008

Los administradores locales pueden controlar DEP/NX si ejecutan Internet Explorer como administrador. Para habilitar DEP, realice los pasos siguientes:

Consecuencias de la solución provisional: Es posible que algunas extensiones del explorador no sean compatibles con DEP y pueden cerrarse inesperadamente. Si sucede esto, puede deshabilitar el complemento o revertir la configuración de DEP con el Panel de control de Internet. También se puede obtener acceso mediante el Panel de control del sistema.

Deshabilitar la compatibilidad de enlace de datos en Internet Explorer 8 Beta 2

Realice los pasos siguientes:

Consecuencias de la solución provisional: Esta solución provisional desactiva el enlace de datos para todas las zonas de seguridad. Algunos sitios web a los que se ha obtenido acceso y usan enlace de datos ya no se representarán correctamente.

Cómo deshacer la solución provisional

Use el siguiente archivo del Registro para quitar la clave de control de la característica:

Editor del Registro de Windows versión 5.00

[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_DATABINDING_SUPPORT]

Deshabilitar la funcionalidad de isla XML

Restringir el uso de OLEDB32.dll por parte de Internet Explorer con una ACL de nivel de integridad

Deshabilitar la funcionalidad de posición de fila de OLEDB32.dll

Cancelar el registro de OLEDB32.dll

Usar una ACL para deshabilitar OLEDB32.dll