Boletín de seguridad de Microsoft MS05-020

En el caso de un ataque basado en Web, el intruso tendría que alojar un sitio Web que contuviera una página Web para aprovechar esta vulnerabilidad. Un atacante también podría intentar manipular un sitio Web y hacer que mostrara contenido malintencionado. El atacante no podría obligar a los usuarios a visitar un sitio Web. Por lo tanto, tendría que atraerlos al sitio Web; para ello debería, por ejemplo, incitarles a hacer clic en un vínculo que les llevara al sitio Web del atacante o a un sitio que haya puesto en peligro.

Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.

De forma predeterminada, Outlook Express 6, Outlook 2002 y Outlook 2003 abren los mensajes de correo electrónico HTML dentro de la zona Sitios restringidos. Además, Outlook 2000 abre los mensajes de correo electrónico HTML dentro de la zona Sitios restringidos si se ha instalado la Actualización de seguridad para correo electrónico de Outlook. Outlook Express 5.5 Service Pack 2 abre el correo electrónico en formato HTML en la zona Sitios restringidos si se ha instalado el boletín de seguridad de Microsoft MS04-018. La zona Sitios restringidos ayuda a reducir los ataques que podrían aprovechar esta vulnerabilidad.

El riesgo de sufrir un ataque mediante un mensaje de correo electrónico HTML se puede reducir de forma significativa si se cumplen todas las siguientes condiciones:

La vulnerabilidad no se podría aprovechar automáticamente mediante el correo electrónico. Un usuario debe abrir un archivo adjunto a un mensaje de correo electrónico o hacer clic en un vínculo de un mensaje de correo electrónico para que un ataque tenga éxito.

De forma predeterminada, Internet Explorer en Windows Server 2003 se ejecuta en un modo restringido conocido como Configuración de seguridad mejorada. Este modo soluciona esta vulnerabilidad. Vea la sección P+F correspondiente a esta vulnerabilidad para obtener más información acerca de la configuración de seguridad mejorada de Internet Explorer.

Configurar la zona de seguridad de Internet e Intranet local en “Alta” de forma que se pregunte antes de ejecutar secuencias de comandos ActiveX en estas zonas.

Puede colaborar en la protección contra esta vulnerabilidad modificando la configuración de la zona de seguridad Internet para que solicite datos antes de ejecutar secuencias de comandos ActiveX. Para ello, establezca la seguridad del explorador en Alta.

Para aumentar el nivel de seguridad en Microsoft Internet Explorer, siga estos pasos:

Nota Si no hay visible un control deslizante, haga clic en Nivel predeterminado y, a continuación, mueva el control deslizante hacia Alto.

Nota Al establecer el nivel en Alto, es posible que algunos sitios Web no funcionen correctamente. Si tiene dificultades para utilizar un sitio Web después de cambiar esta configuración y está seguro de que el sitio es seguro de utilizar, puede agregarlo a la lista de sitios de confianza. Esto permitirá que el sitio funcione correctamente incluso con la configuración de seguridad alta. Consulte la solución “Restringir los sitios Web sólo a aquellos de confianza” para obtener información acerca de cómo agregar sitios a la zona de sitios de confianza.

Alternativamente, puede cambiar la configuración para que pregunte antes de ejecutar sólo secuencias de comandos ActiveX: Para ello, siga estos pasos:

Consecuencias de la solución temporal: Preguntar antes de ejecutar secuencias de comandos ActiveX conlleva efectos secundarios. Muchos sitios Web de Internet o una intranet utilizan secuencias de comandos ActiveX para aportar funciones adicionales. Preguntar antes de ejecutar secuencias de comandos ActiveX (Pedir datos) es una configuración global que afecta a todos los sitios de Internet e Intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, puede utilizar la solución "Restringir los sitios Web sólo a aquellos de confianza".

Restringir los sitios Web sólo a aquellos de confianza.

Después de configurar Internet Explorer para exigir que le pregunte antes de ejecutar secuencias de comandos ActiveX en las zonas Internet e Intranet local, puede agregar sitios en los que confíe a la zona Sitios de confianza de Internet Explorer. De esta forma, podrá seguir utilizando como siempre los sitios Web de confianza al tiempo que colabora para protegerse de este ataque en los sitios en los que no confía. Se recomienda agregar solamente sitios en los que confíe a la zona Sitios de confianza.

Para ello, siga estos pasos:

Agregue todos los sitios de confianza para los que tenga la certeza de que no realizarán ninguna acción perjudicial en su equipo. En concreto, hay un sitio que es aconsejable agregar: “*.windowsupdate.microsoft.com” (sin las comillas). Se trata del sitio que alojará la actualización y requiere de un control ActiveX para instalarla.

Instale la actualización incluida en el boletín de seguridad de Microsoft MS04-018 si está usando Outlook Express 5.5 SP2.

Outlook Express 5.5 Service Pack 2 abre el correo electrónico en formato HTML en la zona Sitios restringidos si se ha instalado el boletín de seguridad de Microsoft MS04-018.

Los clientes que utilicen uno o más de estos productos correrán un riesgo reducido de un ataque mediante correo electrónico que intente aprovechar estos puntos vulnerables a no ser que hagan clic en un vínculo malintencionado del mensaje.

Lea los mensajes de correo electrónico como texto sin formato si está utilizando Outlook 2002 o una versión posterior, o bien Outlook Express 6 SP1 o una versión posterior, para protegerse del tipo de ataque mediante correo electrónico HTML.

Los usuarios de Microsoft Outlook 2002 que han aplicado Office XP Service Pack 1 o una versión posterior, y los usuarios de Outlook Express 6 que han aplicado Internet Explorer 6 Service Pack 1 o una versión posterior pueden habilitar una característica para ver los mensajes de correo electrónico que no estén firmados digitalmente o que no estén cifrados sólo en texto sin formato.

A los mensajes de correo electrónico firmados digitalmente o cifrados no les afecta esta configuración y pueden leerse en sus formatos originales. Para obtener más información acerca de cómo habilitar esta configuración en Outlook 2002, vea el artículo 307594 de Microsoft Knowledge Base.

Para obtener más información acerca de esta configuración de Outlook Express 6, consulte el artículo 291387 de Microsoft Knowledge Base.

Alcance de la solución: Los mensajes vistos como texto sin formato no contienen imágenes, fuentes especiales, animaciones ni contenido enriquecido. Además:

El nivel de seguridad para la zona Internet está establecido en Alto. Esta configuración deshabilita las secuencias de comandos, los controles ActiveX, la máquina virtual Java de Microsoft (Microsoft JVM) y las descargas de archivos.

Se ha deshabilitado la detección automática de sitios de intranet. Esta configuración asigna a la zona Internet todos los sitios Web de intranet y todas las rutas de acceso que cumplen la Convención de nomenclatura universal (UNC, Universal Naming Convention) y que no aparecen enumeradas de forma específica en la zona Intranet local.

Se han deshabilitado la instalación a petición y las extensiones de explorador que no sean de Microsoft. Esta configuración impide que las páginas Web instalen componentes de modo automático y que se ejecuten las extensiones que no sean de Microsoft.

Se ha deshabilitado el contenido multimedia. Esta configuración impide que se ejecuten archivos de música, animación y clips de vídeo.

En el caso de un ataque basado en Web, el intruso tendría que alojar un sitio Web que contuviera una página Web para aprovechar esta vulnerabilidad. Un atacante también podría intentar manipular un sitio Web y hacer que mostrara contenido malintencionado. El atacante no podría obligar a los usuarios a visitar un sitio Web. Por lo tanto, tendría que atraerlos al sitio Web; para ello debería, por ejemplo, incitarles a hacer clic en un vínculo que les llevara al sitio Web del atacante o a un sitio que haya puesto en peligro.

Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.

De forma predeterminada, Outlook Express 6, Outlook 2002 y Outlook 2003 abren los mensajes de correo electrónico HTML dentro de la zona Sitios restringidos. Además, Outlook 2000 abre los mensajes de correo electrónico HTML dentro de la zona Sitios restringidos si se ha instalado la Actualización de seguridad para correo electrónico de Outlook. Outlook Express 5.5 Service Pack 2 abre el correo electrónico en formato HTML en la zona Sitios restringidos si se ha instalado el boletín de seguridad de Microsoft MS04-018. La zona Sitios restringidos ayuda a reducir los ataques que podrían aprovechar esta vulnerabilidad.

El riesgo de sufrir un ataque mediante un mensaje de correo electrónico HTML se puede reducir de forma significativa si se cumplen todas las siguientes condiciones:

La vulnerabilidad no se podría aprovechar automáticamente mediante el correo electrónico. Un usuario debe hacer clic en un vínculo malintencionado enviado en un mensaje de correo electrónico para que un ataque tenga éxito.

Configurar la zona de seguridad de Internet e Intranet local en “Alta” de forma que se pregunte antes de ejecutar secuencias de comandos ActiveX en estas zonas.

Puede colaborar en la protección contra esta vulnerabilidad modificando la configuración de la zona de seguridad Internet para que solicite datos antes de ejecutar secuencias de comandos ActiveX. Para ello, establezca la seguridad del explorador en Alta.

Nota Esta solución proporciona una protección limitada y existe constancia de que determinados vectores de ataque que no dependen de las secuencias de comandos ActiveX.

Para aumentar el nivel de seguridad en Microsoft Internet Explorer, siga estos pasos:

Nota Si no hay visible un control deslizante, haga clic en Nivel predeterminado y, a continuación, mueva el control deslizante hacia Alto.

Nota Al establecer el nivel en Alto, es posible que algunos sitios Web no funcionen correctamente. Si tiene dificultades para utilizar un sitio Web después de cambiar esta configuración y está seguro de que el sitio es seguro de utilizar, puede agregarlo a la lista de sitios de confianza. Esto permitirá que el sitio funcione correctamente incluso con la configuración de seguridad alta.

Alternativamente, puede cambiar la configuración para que pregunte antes de ejecutar sólo secuencias de comandos ActiveX: Para ello, siga estos pasos:

Consecuencias de la solución temporal: Preguntar antes de ejecutar secuencias de comandos ActiveX conlleva efectos secundarios. Muchos sitios Web de Internet o una intranet utilizan secuencias de comandos ActiveX para aportar funciones adicionales. Preguntar antes de ejecutar secuencias de comandos ActiveX (Pedir datos) es una configuración global que afecta a todos los sitios de Internet e Intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, puede utilizar la solución "Restringir los sitios Web sólo a aquellos de confianza".

Restringir los sitios Web sólo a aquellos de confianza.

Después de configurar Internet Explorer para exigir que le pregunte antes de ejecutar secuencias de comandos ActiveX en las zonas Internet e Intranet local, puede agregar sitios en los que confíe a la zona Sitios de confianza de Internet Explorer. De esta forma, podrá seguir utilizando como siempre los sitios Web de confianza al tiempo que colabora para protegerse de este ataque en los sitios en los que no confía. Se recomienda agregar solamente sitios en los que confíe a la zona Sitios de confianza.

Para ello, siga estos pasos:

Agregue todos los sitios de confianza para los que tenga la certeza de que no realizarán ninguna acción perjudicial en su equipo. En concreto, hay un sitio que es aconsejable agregar: “*.windowsupdate.microsoft.com” (sin las comillas). Se trata del sitio que alojará la actualización y requiere de un control ActiveX para instalarla.

Instale la actualización incluida en el boletín de seguridad de Microsoft MS04-018 si está usando Outlook Express 5.5 SP2.

Outlook Express 5.5 Service Pack 2 abre el correo electrónico en formato HTML en la zona Sitios restringidos si se ha instalado el boletín de seguridad de Microsoft MS04-018.

Los clientes que utilicen uno o más de estos productos correrán un riesgo reducido de un ataque mediante correo electrónico que intente aprovechar estos puntos vulnerables a no ser que hagan clic en un vínculo malintencionado del mensaje.

Lea los mensajes de correo electrónico como texto sin formato si está utilizando Outlook 2002 o una versión posterior, o bien Outlook Express 6 SP1 o una versión posterior, para protegerse del tipo de ataque mediante correo electrónico HTML.

Los usuarios de Microsoft Outlook 2002 que han aplicado Office XP Service Pack 1 o una versión posterior, y los usuarios de Outlook Express 6 que han aplicado Internet Explorer 6 Service Pack 1 o una versión posterior pueden habilitar una característica para ver los mensajes de correo electrónico que no estén firmados digitalmente o que no estén cifrados sólo en texto sin formato.

A los mensajes de correo electrónico firmados digitalmente o cifrados no les afecta esta configuración y pueden leerse en sus formatos originales. Para obtener más información acerca de cómo habilitar esta configuración en Outlook 2002, vea el artículo 307594 de Microsoft Knowledge Base.

Para obtener más información acerca de esta configuración de Outlook Express 6, consulte el artículo 291387 de Microsoft Knowledge Base.

Alcance de la solución: Los mensajes vistos como texto sin formato no contienen imágenes, fuentes especiales, animaciones ni contenido enriquecido. Además:

En el caso de un ataque basado en Web, el intruso tendría que alojar un sitio Web que contuviera una página Web para aprovechar esta vulnerabilidad. Un atacante también podría intentar manipular un sitio Web y hacer que mostrara contenido malintencionado. El atacante no podría obligar a los usuarios a visitar un sitio Web. Por lo tanto, tendría que atraerlos al sitio Web; para ello debería, por ejemplo, incitarles a hacer clic en un vínculo que les llevara al sitio Web del atacante o a un sitio que haya puesto en peligro. Entonces, un usuario debería hacer clic en una serie de ventanas de configuración del Asesor de contenido para que un ataque tuviera éxito.

Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.

De forma predeterminada, Outlook Express 6, Outlook 2002 y Outlook 2003 abren los mensajes de correo electrónico HTML dentro de la zona Sitios restringidos. Además, Outlook 2000 abre los mensajes de correo electrónico HTML dentro de la zona Sitios restringidos si se ha instalado la Actualización de seguridad para correo electrónico de Outlook. Outlook Express 5.5 Service Pack 2 abre el correo electrónico en formato HTML en la zona Sitios restringidos si se ha instalado el boletín de seguridad de Microsoft MS04-018. La zona Sitios restringidos ayuda a reducir los ataques que podrían aprovechar esta vulnerabilidad.

El riesgo de sufrir un ataque mediante un mensaje de correo electrónico HTML se puede reducir de forma significativa si se cumplen todas las siguientes condiciones:

La vulnerabilidad no se podría aprovechar automáticamente mediante el correo electrónico. Para que un ataque tenga éxito, un usuario debe abrir un archivo adjunto a un mensaje de correo electrónico recibido y hacer clic en una serie de ventanas de configuración del Asesor de contenido.

No abra ni guarde archivos de clasificación de contenido (archivos .rat) que reciba de orígenes que no sean de confianza.

Esta vulnerabilidad podría aprovecharse si un usuario instala un archivo .rat. No abra archivos con esta extensión.

Ayuda a evitar ataques por correo electrónico bloqueando los archivos de clasificación de contenido (archivos .rat).

Esta vulnerabilidad podría aprovecharse si un usuario instala un archivo .rat. Para bloquear estos archivos con Outlook y Outlook Express, consulte el artículo 837388 de Microsoft Knowledge y el artículo 291387 de Microsoft Knowledge Base. Los clientes empresariales pueden considerar la posibilidad de agregar los archivos de clasificación de contenido (archivos .rat) a la lista de archivos no seguros que deben bloquear los filtros de correo electrónico de la puerta de enlace de la empresa.

Configurar la zona de seguridad de Internet e Intranet local en “Alta” de forma que se pregunte antes de ejecutar secuencias de comandos ActiveX en estas zonas.

Puede colaborar en la protección contra esta vulnerabilidad modificando la configuración de la zona de seguridad Internet para que solicite datos antes de ejecutar secuencias de comandos ActiveX. Para ello, establezca la seguridad del explorador en Alta.

Para aumentar el nivel de seguridad en Microsoft Internet Explorer, siga estos pasos:

Nota Si no hay visible un control deslizante, haga clic en Nivel predeterminado y, a continuación, mueva el control deslizante hacia Alto.

Nota Al establecer el nivel en Alto, es posible que algunos sitios Web no funcionen correctamente. Si tiene dificultades para utilizar un sitio Web después de cambiar esta configuración y está seguro de que el sitio es seguro de utilizar, puede agregarlo a la lista de sitios de confianza. Esto permitirá que el sitio funcione correctamente incluso con la configuración de seguridad alta.

Alternativamente, puede cambiar la configuración para que pregunte antes de ejecutar sólo secuencias de comandos ActiveX: Para ello, siga estos pasos:

Consecuencias de la solución temporal: Preguntar antes de ejecutar secuencias de comandos ActiveX conlleva efectos secundarios. Muchos sitios Web de Internet o una intranet utilizan secuencias de comandos ActiveX para aportar funciones adicionales. Preguntar antes de ejecutar secuencias de comandos ActiveX (Pedir datos) es una configuración global que afecta a todos los sitios de Internet e Intranet. Cuando habilite esta solución, se le preguntará para que dé su conformidad con bastante frecuencia. En cada pregunta, si confía en el sitio que está visitando, haga clic en Sí para ejecutar las secuencias de comandos ActiveX. Si no desea que se le pregunte para todos estos sitios, puede utilizar la solución "Restringir los sitios Web sólo a aquellos de confianza".

Restringir los sitios Web sólo a aquellos de confianza.

Después de configurar Internet Explorer para exigir que le pregunte antes de ejecutar secuencias de comandos ActiveX en las zonas Internet e Intranet local, puede agregar sitios en los que confíe a la zona Sitios de confianza de Internet Explorer. De esta forma, podrá seguir utilizando como siempre los sitios Web de confianza al tiempo que colabora para protegerse de este ataque en los sitios en los que no confía. Se recomienda agregar solamente sitios en los que confíe a la zona Sitios de confianza.

Para ello, siga estos pasos:

Agregue todos los sitios de confianza para los que tenga la certeza de que no realizarán ninguna acción perjudicial en su equipo. En concreto, hay un sitio que es aconsejable agregar: “*.windowsupdate.microsoft.com” (sin las comillas). Se trata del sitio que alojará la actualización y requiere de un control ActiveX para instalarla.

Instale la actualización incluida en el boletín de seguridad de Microsoft MS04-018 si está usando Outlook Express 5.5 SP2.

Outlook Express 5.5 Service Pack 2 abre el correo electrónico en formato HTML en la zona Sitios restringidos si se ha instalado el boletín de seguridad de Microsoft MS04-018.

Los clientes que utilicen uno o más de estos productos correrán un riesgo reducido de un ataque mediante correo electrónico que intente aprovechar estos puntos vulnerables a no ser que hagan clic en un vínculo malintencionado del mensaje.

Lea los mensajes de correo electrónico como texto sin formato si está utilizando Outlook 2002 o una versión posterior, o bien Outlook Express 6 SP1 o una versión posterior, para protegerse del tipo de ataque mediante correo electrónico HTML.

Los usuarios de Microsoft Outlook 2002 que han aplicado Office XP Service Pack 1 o una versión posterior, y los usuarios de Outlook Express 6 que han aplicado Internet Explorer 6 Service Pack 1 o una versión posterior pueden habilitar una característica para ver los mensajes de correo electrónico que no estén firmados digitalmente o que no estén cifrados sólo en texto sin formato.

A los mensajes de correo electrónico firmados digitalmente o cifrados no les afecta esta configuración y pueden leerse en sus formatos originales. Para obtener más información acerca de cómo habilitar esta configuración en Outlook 2002, vea el artículo 307594 de Microsoft Knowledge Base.

Para obtener más información acerca de esta configuración de Outlook Express 6, consulte el artículo 291387 de Microsoft Knowledge Base.

Alcance de la solución: Los mensajes vistos como texto sin formato no contienen imágenes, fuentes especiales, animaciones ni contenido enriquecido. Además: