Boletín de seguridad de Microsoft MS04-018

Resumen ejecutivo:

Esta actualización resuelve una vulnerabilidad conocida. En Outlook Express existe una vulnerabilidad de denegación de servicio debido a que no se comprueban eficazmente los encabezados de correo electrónico con formato incorrecto. La vulnerabilidad se documenta en el apartado Detalles de la vulnerabilidad de este boletín. Esta actualización también cambia la configuración de seguridad predeterminada para el Service Pack 2 (SP2) de Outlook Express 5.5. Este cambio se explica en la sección Preguntas más frecuentes relacionadas con esta actualización de seguridad de este boletín.

Si un usuario ejecuta Outlook Express y recibe un mensaje de correo electrónico ideado especialmente, dejará de funcionar. Si el panel de vista previa está habilitado, el usuario tendrá que quitar manualmente el mensaje y reiniciar a continuación Outlook Express para reanudar sus funciones.

Se recomienda considerar la aplicación de la actualización de seguridad.

Gravedad e identificadores de vulnerabilidad:

Esta clasificación está basada en los tipos de sistemas afectados por la vulnerabilidad, sus patrones típicos de implementación y el efecto que podría tener en ellos que un intruso la aprovechara.

¿Qué actualizaciones reemplaza esta versión?
Se trata de una actualización acumulativa que incluye las funciones de todas las actualizaciones publicadas hasta la fecha para Outlook Express 5.5 y Outlook Express 6. El identificador del boletín de seguridad y los sistemas operativos afectados de la actualización anterior de Outlook Express se enumeran en la tabla siguiente.

¿Contiene esta actualización algún otro cambio en su funcionalidad?
Sí. Además del cambio que se indica en el apartado Detalles de la vulnerabilidad de este boletín, esta actualización presenta los siguientes cambios de funcionalidad:

¿Cómo afecta al servicio técnico de Windows 98, Windows 98 Segunda edición y Windows Millennium Edition la publicación de actualizaciones de seguridad para estos sistemas operativos?
Microsoft sólo publicará actualizaciones de seguridad para problemas de seguridad críticos. Los problemas de seguridad no críticos no se ofrecen durante este periodo de servicio técnico. Para obtener más información acerca de las directivas del ciclo de vida del soporte técnico de Microsoft correspondientes a estos sistemas operativos, visite el siguiente sitio Web de Microsoft.

Para obtener más información acerca de la clasificación de gravedad, visite el siguiente sitio Web.

¿Están afectados Windows 98, Windows 98 Segunda edición o Windows Millennium Edition de forma crítica por alguna vulnerabilidad tratada en este boletín de seguridad?
No. Ninguna de estas vulnerabilidades es de gravedad crítica en Windows 98, Windows 98 Segunda edición o en Windows Millennium Edition.

Sigo usando el Service Pack 6a de Microsoft Windows NT 4.0 Workstation o el Service Pack 2 de Windows 2000, pero el período extendido de soporte técnico de la actualización de seguridad finalizó el 30 de junio de 2004. Sin embargo, este boletín contiene una actualización de seguridad para estas versiones de los sistemas operativos. ¿Por qué?
El Service Pack 6a de Windows NT 4.0 Workstation y el Service Pack 2 de Windows 2000 han llegado al final de sus ciclos de vida, según se ha explicado anteriormente, y Microsoft amplió el período de soporte técnico hasta el 30 de junio de 2004. Sin embargo, dicho período ha concluido hace muy poco. En este caso, la mayor parte de los pasos necesarios para abordar esta vulnerabilidad se completaron antes del 30 de junio de 2004. Por lo tanto, hemos decidido publicar actualizaciones de seguridad para estas versiones de los sistemas operativos en este boletín de seguridad. No aseguramos que esto se siga haciendo para las vulnerabilidades que se descubran posteriormente y que afecten a dichas versiones, pero nos reservamos el derecho a crear actualizaciones y a ponerlas a disposición de los clientes cuando sea necesario.

Los clientes que tengan esas versiones de los sistemas operativos deberían plantearse la migración a versiones con soporte técnico para evitar la exposición a futuras vulnerabilidades. Para obtener más información acerca del ciclo de vida del soporte técnico de los productos de Windows, visite el sitio Web Ciclo de vida del soporte técnico de Microsoft. Para obtener más información acerca de la ampliación del período de soporte técnico de las actualizaciones de seguridad correspondientes a estas versiones de sistemas operativos, visite el siguiente sitio Web de Servicios de soporte técnico de Microsoft .

Los clientes que requieran soporte técnico adicional para el SP6a de Windows NT Workstation 4.0 deben ponerse en contacto con su representante del equipo de cuentas de Microsoft, con su administrador técnico de cuentas o con el representante del partner de Microsoft apropiado para consultar las opciones de soporte personalizadas disponibles. Los clientes con un contrato Alliance, Premier o Authorized pueden ponerse en contacto con su oficina de ventas local de Microsoft. Para obtener información de contacto, visite el sitio Web de información en todo el mundo de Microsoft, seleccione el país y, a continuación, haga clic en Ir para ver la lista de números de teléfono. Cuando llame, diga que desea hablar con el administrador de ventas local de soporte técnico Premier.

Para obtener más información, consulte las Preguntas más frecuentes del sistema operativo Windows.

He examinado mi sistema con Microsoft Baseline Security Analyzer (MBSA) y no me ha indicado que tenga que instalar esta actualización. ¿Está el sistema expuesto a esta vulnerabilidad?
Actualmente, MBSA no busca si faltan las actualizaciones de seguridad relacionadas con Outlook Express. Sin embargo, Windows Update detectará e instalará correctamente esta actualización si fuera necesario. Para obtener más información acerca de MBSA y de los productos que MBSA detecta en este momento, visite el siguiente sitio Web de Microsoft.

¿Se puede utilizar Systems Management Server (SMS) para determinar si esta actualización es necesaria?
No. SMS usa MBSA para la detección y éste no detecta esta actualización. Sin embargo, la información de claves del Registro disponible en este boletín puede utilizarse para escribir consultas de conjuntos de claves del Registro y de archivos específicos en SMS con el fin de detectar los sistemas vulnerables. Para obtener información acerca de cómo implementar las actualizaciones que no admite MBSA con SMS, repase el artículo de Knowledge Base 867832 o visite el sitio Web de SMS.

Requisitos previos

Microsoft ha probado la versión de Windows y las versiones de Outlook Express enumeradas en este boletín para determinar si esta vulnerabilidad podría afectarlas y para confirmar que la actualización que describe este boletín la corrige.

Si desea instalar las versiones para Outlook Express 6 Service Pack 1 (SP1) de esta actualización, debe ejecutar Internet Explorer 6 SP1 (versión 6.00.2800.1106) en una de las siguientes versiones de Windows:

Para instalar las versiones de Outlook Express 6 para Windows Server 2003 de esta actualización, debe ejecutar Internet Explorer 6 (versión 6.00.3790.0000) en Windows Server 2003 (32 ó 64 bits) o Internet Explorer 6 (versión 6.00.3790.0000) en Windows XP 64-Bit Edition, Versión 2003.

Si desea instalar la versión para Outlook Express 6 de esta actualización, debe ejecutar Internet Explorer 6 (versión 6.00.2600.0000) en una versión de 32-bit de Windows XP.

Las versiones de Windows y de Outlook Express e Internet Explorer que no se mencionan en este artículo ya no reciben soporte técnico. Aunque puede instalar algunos de los paquetes de actualización descritos en este artículo en estas versiones de Windows y de Outlook Express, Microsoft no ha probado estas versiones para determinar si esta vulnerabilidad podría afectarlas y para confirmar que la actualización que describe este boletín la corrige. Se recomienda realizar la actualización a una versión con soporte técnico de Windows y de Outlook Express y, a continuación, aplicar la actualización adecuada.

Para obtener más información acerca de cómo determinar la versión de Internet Explorer que ejecuta, vea el artículo de Microsoft Knowledge Base 164539.

Para obtener más información acerca de los ciclos de vida del soporte técnico para los componentes de Windows, visite el sitio Web del Ciclo de vida del soporte técnico de Microsoft siguiente.

Para obtener más información acerca de cómo obtener el Service Pack más reciente para Internet Explorer 6, vea el artículo de Microsoft Knowledge Base 328548.

Para obtener más información acerca de cómo obtener el Service Pack más reciente para Internet Explorer 5.5, vea el artículo de Microsoft Knowledge Base 276369.

Para obtener más información acerca de cómo obtener el Service Pack más reciente para Internet Explorer 5.01, vea el artículo de Microsoft Knowledge Base 267954.

Requisitos de reinicio

En algunos casos, esta actualización no requiere reiniciar el sistema. El programa instalador detiene los servicios necesarios, aplica la actualización y los vuelve a reiniciar. Sin embargo, si los servicios requeridos no pueden detenerse por algún motivo o si algún archivo necesario está siendo utilizado, habrá que reiniciar el sistema. Si sucede esto, aparecerá un mensaje que aconseja reiniciar el sistema.

Las versiones de Windows Server 2003 de esta actualización de seguridad (incluida Windows XP 64-Bit Edition, Versión 2003) admiten los siguientes parámetros de instalación:

      /help                 Muestra las opciones de la línea de comandos

Modos de instalación

      /quiet                Modo silencioso (sin interacción del usuario ni mensajes)

      /passive            Modo desatendido (sólo barra de progreso)

      /uninstall          Desinstala el paquete

Opciones de reinicio

      /norestart      No reinicia al completarse la instalación

      /forcerestart      Reinicia después de la instalación

Opciones especiales

      /l                        Enumera los paquetes de actualización y los hotfix de Windows instalados

      /o          Sobrescribe los archivos OEM sin preguntar

      /n                     No hace una copia de seguridad de los archivos necesarios para la desinstalación

      /f                       Obliga a otros programas a cerrarse cuando se apaga el equipo

Nota Estos parámetros pueden combinarse en el mismo comando. Para mantener la compatibilidad con productos anteriores, esta actualización de seguridad también admite los parámetros de instalación que utilizan las versiones anteriores de la utilidad de instalación. Para obtener más información acerca de los parámetros de instalación admitidos, vea el artículo de Microsoft Knowledge Base que trata ese tema, 262841.

Información sobre la implementación

Para instalar esta actualización de seguridad en Windows Server 2003 sin intervención del usuario, escriba la línea de comandos siguiente en el símbolo del sistema:

windowsserver2003-kb823353-x86-enu.exe /quiet /passive

Para instalar esta actualización de seguridad en Windows Server 2003 sin necesidad de reiniciar el sistema, escriba la siguiente línea de comandos en el símbolo del sistema:

windowsserver2003-kb823353-x86-enu.exe /norestart

     /q                     Utilizar el modo silencioso o suprimir mensajes cuando se extraen los archivos.

     /q:u          Utilizar el modo silencioso de usuario. El modo silencioso de usuario presenta algunos cuadros de diálogo al usuario.

     /q:a          Utilizar el modo silencioso de administrador. El modo silencioso de administrador no presenta ningún cuadro de diálogo al usuario.

     /t: path:    Especificar la ubicación de la carpeta temporal que utiliza el programa de la instalación o la carpeta de destino donde se extraen los archivos (cuando se utiliza el parámetro c).

     /c: Extraer los archivos sin instalarlos. Si no especifica el parámetro /t: ruta de acceso, se le solicita que indique una carpeta de destino.

     /c: path             Especificar la ruta de acceso y el nombre del archivo setup .inf o .exe.

     /r:n                   Nunca reiniciar el equipo una vez completado el proceso de instalación.

     /r:i                    Pedir al usuario que reinicie el equipo si es necesario, excepto cuando este parámetro se utilice con el parámetro q:a.

     /r:a                   Reiniciar siempre el equipo una vez completado el proceso de instalación.

     /r:s           Reiniciar el equipo una vez completado el proceso de instalación sin pedir confirmación al usuario.

     /n:v          No comprobar la versión. Utilizar este parámetro con precaución para instalar la actualización de cualquier versión de Internet Explorer.

Para obtener más información sobre estos parámetros de instalación admitidos, vea el artículo de Microsoft Knowledge Base 197147.

Para instalar la actualización de seguridad sin intervención del usuario, escriba el comando siguiente reemplazando "nombreDePaquete" con el nombre de archivo del paquete que se instala:

nombreDePaquete/q:a /r:n

Comprobación de la instalación de la actualización

Para comprobar los archivos que instala esta actualización de seguridad, utilice alguno de los siguientes métodos:

Información sobre la eliminación

Para desinstalar la actualización, utilice la herramienta Agregar o quitar programas del Panel de control. Haga clic en Outlook Express Q823353 y en Cambiar o quitar (o en Agregar o quitar).

En Windows Server 2003 y Windows XP 64-Bit Edition, Versión 2003, los administradores del sistema también pueden utilizar la utilidad Spunist.exe para quitar esta actualización de seguridad. La utilidad Spuninst.exe se encuentra en la carpeta %Windir%\$NTUninstallKB823353$\Spuninst. Esta utilidad admite los siguientes parámetros de instalación:

/?: Muestra la lista de parámetros de instalación.

/u: Utiliza el modo desatendido.

/f: Obliga a otros programas a cerrarse cuando se apaga el equipo.

/z: No reinicia al completarse la instalación.

/q: Usa el modo silencioso (sin interacción del usuario)

En el resto de versiones de Windows, los administradores del sistema pueden utilizar la utilidad Ieuninst.exe para desinstalar esta actualización. Esta actualización de seguridad instala la utilidad Ieuninst.exe en la carpeta %Windir%. Esta utilidad admite los siguientes parámetros de instalación:

/?: Muestra la lista de parámetros de instalación.

/z: No reinicia al completarse la instalación.

/q: Usa el modo silencioso (sin interacción del usuario)

Para quitar esta actualización de forma silenciosa, escriba la línea de comandos siguiente en el símbolo del sistema:

c:\windows\ieuninst /q c:\windows\inf\q823353.inf

este comando supone que Windows está instalado en la carpeta C:\Windows.

Información sobre archivos

La versión inglesa de esta actualización de seguridad tiene los atributos de archivo (o posteriores) indicados en la tabla siguiente. Las fechas y horas de estos archivos se muestran en el horario universal coordinado (UTC). Cuando se consulta la información de archivo, ésta se convierte al horario local. Para averiguar la diferencia entre el horario universal coordinado y el local, utilice la ficha Zona horaria en la herramienta Fecha y hora del Panel de control.

Debido a las dependencias de los archivos, esta actualización puede contener archivos adicionales. Para obtener información acerca de la actualización de seguridad específica para su sistema operativo, haga clic en el vínculo apropiado.

Fecha        Hora   Versión          Tamaño  Nombre de archivo 
---------------------------------------------------------------- 
03-Mar-2003  23:57  6.0.2800.1123      75,776  Directdb.dll
07-Jun-2004  21:19  6.0.2800.1441     596,480  Inetcomm.dll
11-Oct-2002  22:08  6.0.2800.1123      47,616  Inetres.dll
03-Mar-2003  23:57  6.0.2800.1123      44,032  Msident.dll
03-Mar-2003  23:57  6.0.2800.1123      56,832  Msimn.exe
26-May-2004  21:26  6.0.2800.1437   1,175,040  Msoe.dll
03-Mar-2003  23:57  6.0.2800.1123     228,864  Msoeacct.dll
11-Oct-2002  22:09  6.0.2800.1123   2,479,616  Msoeres.dll
03-Mar-2003  23:57  6.0.2800.1123      91,136  Msoert2.dll
03-Mar-2003  23:57  6.0.2800.1123      93,184  Oeimport.dll
03-Mar-2003  23:57  6.0.2800.1123      55,808  Oemig50.exe
03-Mar-2003  23:57  6.0.2800.1123      31,744  Oemiglib.dll
03-Mar-2003  23:57  6.0.2800.1123      42,496  Wab.exe
24-Jun-2004  21:26  6.0.2800.1450     463,360  Wab32.dll
03-Mar-2003  23:57  6.0.2800.1123      30,208  Wabfind.dll
03-Mar-2003  23:57  6.0.2800.1123      77,824  Wabimp.dll
03-Mar-2003  23:57  6.0.2800.1123      27,648  Wabmig.exe

Top of section

Fecha        Hora   Versión          Tamaño    Nombre de archivo
------------------------------------------------------------------
03-Mar-2003  22:57  6.0.2800.1123      75,776  Directdb.dll 
07-Jun-2004  20:18  6.0.2800.1441     593,408  Inetcomm.dll 
11-Oct-2002  21:08  6.0.2800.1123      47,616  Inetres.dll 
03-Mar-2003  22:57  6.0.2800.1123      44,032  Msident.dll 
03-Mar-2003  22:57  6.0.2800.1123      56,832  Msimn.exe 
02-Mar-2004  20:18  6.0.2800.1437   1,175,040  Msoe.dll 
03-Mar-2003  22:57  6.0.2800.1123     228,864  Msoeacct.dll 
11-Oct-2002  21:09  6.0.2800.1123   2,479,616  Msoeres.dll 
03-Mar-2003  22:57  6.0.2800.1123      91,136  Msoert2.dll 
03-Mar-2003  22:57  6.0.2800.1123      93,184  Oeimport.dll 
03-Mar-2003  22:57  6.0.2800.1123      55,808  Oemig50.exe 
03-Mar-2003  22:57  6.0.2800.1123      31,744  Oemiglib.dll 
03-Mar-2003  22:57  6.0.2800.1123      42,496  Wab.exe 
24-Jun-2004  20:18  6.0.2800.1450     463,360  Wab32.dll 
03-Mar-2003  22:57  6.0.2800.1123      30,208  Wabfind.dll 
03-Mar-2003  22:57  6.0.2800.1123      77,824  Wabimp.dll 
03-Mar-2003  22:57  6.0.2800.1123      27,648  Wabmig.exe

Top of section

Fecha       Hora  Versión            Tamaño Nombre de archivo
--------------------------------------------------------------- 
02-Jun-2004  19:00  6.0.2742.200      599,040  Inetcomm.dll 
26-May-2004  21:59  6.0.2741.2600   1,175,552  Msoe.dll

Top of section

Fecha    Hora   Versión           Tamaño Nombre de archivo  Carpeta 
--------------------------------------------------------------------- 
22-Jun-2004  22:38  6.0.3790.181      608,256  Inetcomm.dll  RTMGDR 
22-Jun-2004  22:38  6.0.3790.181    1,202,176  Msoe.dll      RTMGDR 
22-Jun-2004  22:38  6.0.3790.181      474,624  Wab32.dll     RTMGDR 
22-Jun-2004  22:46  6.0.3790.185      608,256  Inetcomm.dll  RTMQFE 
22-Jun-2004  22:46  6.0.3790.181    1,202,176  Msoe.dll      RTMQFE 
22-Jun-2004  22:46  6.0.3790.181      474,624  Wab32.dll     RTMQFE

Top of section

Fecha         Hora   Versión          Tamaño    Nombre de archivo Plataforma 
------------------------------------------------------------------------------ 
22-Jun-2004  22:40  6.0.3790.181    2,030,080  Inetcomm.dll     IA64 
22-Jun-2004  22:40  6.0.3790.181    4,085,760  Msoe.dll         IA64 
22-Jun-2004  22:40  6.0.3790.181    1,550,848  Wab32.dll        IA64 
22-Jun-2004  22:38  6.0.3790.181      608,256  Winetcomm.dll    X86 
22-Jun-2004  22:38  6.0.3790.181    1,202,176  Wmsoe.dll        X86 
22-Jun-2004  22:38  6.0.3790.181      474,624  Wwab32.dll       X86 
22-Jun-2004  22:48  6.0.3790.185    2,029,056  Inetcomm.dll     IA64 
22-Jun-2004  22:48  6.0.3790.181    4,085,760  Msoe.dll         IA64 
22-Jun-2004  22:48  6.0.3790.181    1,550,848  Wab32.dll        IA64 
22-Jun-2004  22:46  6.0.3790.185      608,256  Winetcomm.dll    X86 
22-Jun-2004  22:46  6.0.3790.181    1,202,176  Wmsoe.dll        X86 
22-Jun-2004  22:46  6.0.3790.181      474,624  Wwab32.dll       X86

Top of section

Fecha         Hora  Versión            Tamaño Nombre de archivo 
----------------------------------------------------------------- 
04-Jun-2004  16:10  5.50.4942.400     575,248  Inetcomm.dll 
04-Jun-2004  16:11  5.50.4942.400   1,147,152  Msoe.dll

Top of section

Nota Al instalar esta actualización de seguridad en Windows Server 2003 o en Windows XP 64-Bit Edition Versión 2003, el programa de instalación comprueba si alguno de los archivos que se van a actualizar en el sistema ha sido actualizado anteriormente mediante un hotfix de Microsoft. Si ha instalado anteriormente una revisión para actualizar alguno de estos archivos, el programa de instalación copia los archivos RTMQFE en el sistema. De lo contrario, el programa de instalación copia los archivos RTMGDR en el sistema. Para obtener más información, vea el artículo de Microsoft Knowledge Base 824994..