|
|
|
|
Boletín de Seguridad MS04-004: Técnico
|
|
|
|
|
|
Actualización de
seguridad acumulativa para Internet Explorer (832894)
Publicado:
2 de
febrero de 2004
Versión: 1.0
Resumen
Quién
debería leer este boletín:
los clientes que utilicen Internet Explorer
Alcance
de la vulnerabilidad:
ejecución remota de código.
Gravedad máxima:
Critica
Recomendación:
Los administradores de sistemas deberían instalar
la actualización de seguridad inmediatamente.
Actualizaciones de seguridad reemplazadas: esta actualización reemplaza la que se ofrece en el Boletín de seguridad de
Microsoft
MS03-048, que también era una actualización de seguridad acumulativa.
Advertencias: ninguna.
Software afectado:
Microsoft Windows NT® Workstation 4.0 Service Pack 6a Microsoft Windows NT Server 4.0 Service Pack 6a Microsoft Windows NT Server 4.0 Terminal Server Edition, Service Pack 6 Microsoft Windows 2000 Service Pack 2, Service Pack 3, Service Pack 4 Microsoft Windows XP, Microsoft Windows XP Service Pack 1 Microsoft Windows XP 64-Bit Edition, Microsoft Windows XP 64-Bit Edition Service Pack 1 Microsoft Windows XP 64-Bit Edition Versión 2003 Microsoft Windows Server® 2003 Microsoft Windows Server 2003, 64-Bit Edition
Componentes afectados:
Los programas de software enumerados anteriormente han sido probados para determinar si están
afectados. Otras versiones puede que ya no sean compatibles con las actualizaciones de seguridad o que no se vean afectadas. Visite el sitio Web Ciclo
de vida de soporte técnico de Microsoft (Ciclo de vida de soporte técnico de Microsoft) para determinar el ciclo de vida de soporte
técnico de su producto y versión.
|
|
|
|
|
| |
|
Detalles técnicos |
|
|
|
|
Descripción técnica:
Se trata de una actualización acumulativa que incluye las funciones de todas las actualizaciones
publicadas hasta la fecha para Internet Explorer 5.01, Internet Explorer 5.5 e Internet Explorer 6.0.
Además, elimina los tres puntos vulnerables siguientes, descubiertos recientemente:
Un punto vulnerable que afecta al modelo de seguridad entre dominios de Internet Explorer. El modelo de seguridad impide que las ventanas de dominios distintos compartan información. Este punto vulnerable podría ocasionar la ejecución de una secuencia de comandos en la zona Equipo local. Para aprovecharse de él, un intruso tendría que alojar un sitio Web que contuviera una página Web diseñada con tal fin y, a continuación, persuadir a un usuario para que visitara dicho sitio. El intruso también podría crear un mensaje de correo electrónico HTML diseñado para aprovechar de este punto vulnerable y persuadir al usuario para que lo leyera. Una vez que el usuario visitara el sitio Web o leyera el mensaje de correo electrónico HTML, el intruso podría tener acceso a la información de otros sitios Web o a los archivos del sistema del usuario, y ejecutar código arbitrario en dicho sistema. Este código se ejecutaría dentro del contexto de seguridad del usuario que haya iniciado la sesión.
Un punto vulnerable que afecta a la operación de arrastrar y colocar con punteros de función durante sucesos de HTML dinámico (DHTML) en Internet Explorer. Esta vulnerabilidad podría permitir que se guarde un archivo en una ubicación de destino en el sistema del usuario si éste hace clic en un vínculo. No aparecería ningún cuadro de diálogo donde se le solicitara al usuario que apruebe esta descarga. Para aprovecharse de este punto vulnerable, el intruso tendría que alojar un sitio Web que contuviera una página Web con un vínculo diseñado especialmente. A continuación, el intruso tendría que persuadir al usuario para que hiciera clic en él. El intruso también podría crear un mensaje de correo electrónico HTML con un vínculo diseñado especialmente y persuadir al usuario para que lo leyera e hiciera clic en el vínculo. Si el usuario hiciera clic en el vínculo, no se ejecutaría el código que desee el intruso, pero podría guardarse en una ubicación designada del equipo del usuario.
Una vulnerabilidad que provoca la categorización incorrecta de las direcciones URL que contienen caracteres especiales. Cuando se combina con el uso incorrecto de la característica básica de autenticación que tiene el prefijo “nombredeusuario:contraseña@" al principio de una dirección URL, esta vulnerabilidad puede provocar una representación equivocada de dicha dirección URL en la barra de direcciones de una ventana de Internet Explorer. Para aprovecharse de ella, el intruso tendría que alojar un sitio Web que contuviera una página Web con un vínculo diseñado especialmente. A continuación, tendría que persuadir a un usuario para que hiciera clic en él. También podría crear un mensaje de correo electrónico HTML con un vínculo diseñado especialmente y persuadir al usuario para que lo leyera e hiciera clic en el vínculo. Si el usuario hiciera clic en este vínculo, se podría abrir una ventana de Internet Explorer con la dirección URL que deseara el intruso en la barra de direcciones y que mostrara en la ventana contenido procedente del sitio Web que eligiera el intruso. Por ejemplo, un intruso podría crear un vínculo que, cuando el usuario hiciera clic en él, mostrara http://www.tailspintoys.com en la barra de direcciones, pero que en realidad alojara contenido de otro sitio Web, por ejemplo, http://www.wingtiptoys.com. (Nota: estos sitios Web se mencionan únicamente a modo de ejemplo y ambos redirigen al usuario a http://www.microsoft.com.)
Al igual que con las actualizaciones anteriores de Internet Explorer publicadas con los boletines
MS03-015,
MS03-032,
MS03-048 esta
actualización acumulativa provoca que el control window.showHelp( ) no funcione hasta que no se aplique la actualización de la Ayuda HTML. Si ha instalado el control actualizado de la Ayuda HTML mencionado en el artículo
811630 de Microsoft Knowledge Base,
podrá utilizar las funciones de la Ayuda HTML después de aplicar esta actualización.
La actualización acumulativa de Internet Explorer también incluye un cambio en la función de Autenticación básica de Internet Explorer. La actualización evita que se traten los nombres de usuario y las contraseñas de las direcciones URL de tipo HTTP, HTTP con Nivel de sockets seguro (SSL) o HTTPS en Microsoft Internet Explorer. La sintaxis de dirección URL siguiente ya no se admite en Internet Explorer ni en el Explorador de Windows una vez instalada esta actualización de software:
http(s)://nombredeusuario:contraseña@servidor/recurso.ext
Para obtener más información sobre este cambio, consulte el artículo 834489, de Microsoft Knowledge Base.
Asimismo, esta actualización impedirá ir a las direcciones URL de tipo “nombredeusuario:contraseña@host.com" para XMLHTTP. Microsoft está creando una actualización de MSXML que abordará este problema específicamente en XMLHTTP; suministraremos más información en este boletín cuando dicha actualización esté disponible.
Esta actualización también mejora un cambio realizado en Internet Explorer 6 Service Pack 1, que impide a las páginas Web de la zona de seguridad Internet explorar en la zona Equipo local. Este tema se explica con más detalle en la sección “Preguntas más frecuentes" de este boletín.
Factores atenuantes:
Hay
tres factores atenuantes comunes tanto para la vulnerabilidad entre dominios
como para la de la operación de arrastrar y colocar:
Internet Explorer en Windows Server 2003 se ejecuta de forma predeterminada en
Enhanced Security Configuration
(Configuración de seguridad mejorada). Esta configuración predeterminada de
Internet Explorer impide automáticamente el aprovechamiento de este ataque. Si
la configuración de seguridad mejorada de Internet Explorer se ha
deshabilitado, las protecciones puestas en práctica para evitar el
aprovechamiento automático de estos puntos vulnerables quedarían sin efecto.
En el caso de un ataque
basado en el Web, el intruso tendría que alojar un sitio Web que contuviera
una página Web para aprovechar estos puntos vulnerables. El intruso no puede
obligar al usuario a visitar el sitio Web problemático. Por tanto, tendría que
atraerlo a dicho sitio, normalmente incitándole a hacer clic en un vínculo que
le lleve al mismo. De forma predeterminada, Outlook Express 6.0, Outlook 2002 y Outlook 2003 abren los mensajes de correo
electrónico HTML dentro de la zona Sitios restringidos. Además, Outlook 98 y
Outlook 2000 abren los mensajes de correo electrónico HTML dentro de la zona
Sitios restringidos si se ha instalado la
Actualización de seguridad para correo electrónico de Outlook. El
riesgo de sufrir un ataque mediante un mensaje de correo electrónico HTML se
puede reducir de forma significativa si se cumplen las siguientes condiciones:
Se ha aplicado la revisión de seguridad incluida en los boletines de seguridad de Microsoft
MS03-040 o MS03-048 Está utilizando Internet Explorer 6 o una versión posterior Está utilizando la Actualización de seguridad para correo electrónico de Outlook o Microsoft
Outlook Express 6.0, o una versión posterior, o Microsoft Outlook 2000, o
una versión posterior, en su configuración predeterminada.
Si un intruso logra aprovechar estos puntos vulnerables, sólo obtendría los mismos privilegios que
el usuario. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos
privilegios en el sistema correrían un riesgo menor que aquéllos que cuenten
con privilegios administrativos.
Gravedad:
|
|
Internet Explorer 5.01 SP2, SP3, SP4 |
Internet Explorer 5.5 SP2 |
Internet Explorer 6 e Internet Explorer 6 SP1 (todas las versiones anteriores a
Windows Server 2003) |
Internet
Explorer 6 SP1 para Windows Server 2003 |
Internet Explorer 6 SP1 para Windows Server 2003 (64-Bit) |
|
Punto vulnerable entre dominios |
Crítica |
Crítica |
Crítica |
Moderada |
Moderada |
|
Vulnerabilidad de la operación de arrastrar y colocar |
Importante |
Importante |
Importante |
Moderada |
Moderada |
|
Categorización
incorrecta de direcciones URL |
Importante |
Importante |
Importante |
Importante |
Importante |
|
Gravedad acumulada de todos los problemas incluidos en esta actualización |
Crítica |
Crítica |
Crítica |
Importante |
Importante |
Esta
clasificación está basada en los tipos de sistemas afectados por esta
vulnerabilidad, en sus patrones típicos de implementación y en el efecto que
podría tener un ataque que aproveche dicha vulnerabilidad.
Identificador
de vulnerabilidad:
Vulnerabilidad entre dominios del registro de traslados
CAN-2003-1026 Vulnerabilidad de la operación de arrastrar y colocar del puntero de función
CAN-2003-1027 Vulnerabilidad de categorización incorrecta de direcciones URL
CAN-2003-1025
|
|
|
|
| |
|
Soluciones provisionales |
|
|
|
|
Preguntar antes de ejecutar controles ActiveX y secuencias de comandos
ActiveX en las zonas Internet e Intranet local
Puede colaborar en la protección contra estos puntos vulnerables si
cambia la configuración de la zona de seguridad Internet para que
pregunte antes de ejecutar controles ActiveX. Para ello, siga estos
pasos:
En Internet
Explorer, haga clic en Opciones de Internet en el menú
Herramientas.
Haga clic en la
ficha Seguridad.
Haga clic en
Internet y, a continuación, haga clic en Nivel personalizado.
En
Configuración, en la sección Controles y complementos de
ActiveX, en Ejecutar controles y complementos de ActiveX,
haga clic en Pedir datos.
En la sección
Secuencia de comandos, en Secuencias de comandos ActiveX,
haga clic en Pedir datos y, a continuación, haga clic en
Aceptar.
Haga clic en
Intranet local y, a continuación, haga clic en Nivel
personalizado.
En
Configuración, en la sección Controles y complementos de
ActiveX, en Ejecutar controles y complementos de ActiveX,
haga clic en Pedir datos.
En la sección
Secuencia de comandos, en Secuencias de comandos ActiveX,
haga clic en Pedir datos.
Haga clic en
Aceptar dos veces para volver a Internet Explorer.
Consecuencias de la solución provisional:
Preguntar antes de ejecutar los controles ActiveX conlleva efectos
secundarios. Muchos sitios Web de Internet o una intranet utilizan
controles ActiveX para aportar funciones adicionales. Por ejemplo, un
sitio de comercio electrónico en línea o el sitio de un banco pueden
utilizar controles ActiveX para ofrecer menús, formularios de pedido o
incluso movimientos de cuentas. Preguntar antes de ejecutar los
controles ActiveX (Pedir datos) es una configuración global que afecta a
todos los sitios de Internet e Intranet. Cuando habilite esta solución,
se le preguntará para que dé su conformidad con bastante frecuencia. En
cada pregunta, si confía en el sitio que está visitando, haga clic en
Sí para ejecutar los controles ActiveX. Si no desea que se le
pregunte para todos estos sitios, puede utilizar la solución "Restringir
los sitios Web sólo a aquellos de confianza".
Restringir los sitios Web sólo a aquellos de confianza
Después de configurar Internet Explorer para exigir que le pregunte
antes de ejecutar ActiveX en las zonas Internet e Intranet local, puede
agregar sitios en los que confíe a la zona Sitios de confianza de
Internet Explorer. De esta forma, podrá seguir utilizando como siempre
los sitios Web de confianza al tiempo que colabora para protegerse de
este ataque en los sitios en los que no confía. Microsoft recomienda
agregar solamente sitios en los que confíe a la zona Sitios de
confianza.
Para ello, siga estos pasos:
En Internet
Explorer, haga clic en Herramientas, Opciones de Internet
y, a continuación, en la ficha Seguridad.
En el cuadro
Seleccione una zona de contenido Web para especificar la configuración
de seguridad de la misma, haga clic en Sitios de confianza
y, a continuación, en Sitios.
Si desea agregar
sitios que no requieren un canal cifrado, haga clic en la casilla de
verificación Requerir comprobación del servidor (https:) para todos
los sitios de esta zona para desactivarla.
En el cuadro
Agregar este sitio Web a la zona, escriba la dirección URL de un
sitio en el que confíe y haga clic en Agregar.
Repita estos
pasos para cada sitio que desee agregar a la zona.
Haga clic en
Aceptar dos veces para confirmar los cambios y regresar a Internet
Explorer. Agregue todos los sitios de confianza para los que tenga la
certeza de que no realizarán ninguna acción perjudicial en su equipo.
En concreto, hay un sitio que es aconsejable agregar:
“*.windowsupdate.microsoft.com” (sin las comillas). Éste es el sitio
que alojará la actualización y requiere el uso de un control ActiveX
para instalarla.
Consecuencias de la solución provisional:
Las funciones de los sitios no configurados para que se incluyan en la
zona Sitios de confianza se verán mermadas si necesitan controles
ActiveX para funcionar correctamente. Al agregar sitios a la zona Sitios
de confianza, les permite descargar los controles ActiveX que requieren
para funcionar correctamente. No obstante, solamente debe agregar a la
zona Sitios de confianza sitios en los que confíe.
Instalar la Actualización de seguridad para correo electrónico de
Outlook si está usando Outlook 2000 SP1 o una versión anterior.
La
Actualización de seguridad para correo electrónico de Outlook
hace que Outlook 98 y Outlook 2000 abran de forma predeterminada los
mensajes de correo HTML en la zona Sitios restringidos. De forma
predeterminada, Outlook Express 6.0, Outlook 2002 y Outlook 2003 abren
los mensajes de correo electrónico HTML dentro de la zona Sitios
restringidos. Los clientes que utilicen cualquiera de estos productos
correrán un riesgo mínimo de sufrir un ataque mediante correo
electrónico que intente aprovechar estos puntos vulnerables, a no ser
que hagan clic en el vínculo malintencionado del mensaje.
Si utiliza Outlook 2002, Outlook Express 6.0 SP1 o una versión
posterior, lea los mensajes de correo electrónico como texto sin formato
para protegerse del tipo de ataque mediante correo electrónico HTML
Los usuarios de Microsoft Outlook 2002 que han aplicado el Service Pack
1 o una versión posterior, y los usuarios de Outlook Express 6.0 que han
aplicado el Service Pack 1 o una versión posterior pueden habilitar una
característica para ver sólo en texto sin formato todos los mensajes de
correo electrónico que no estén firmados digitalmente o que no estén
cifrados.
A los mensajes de correo electrónico firmados digitalmente o cifrados no
les afecta esta configuración y pueden leerse en sus formatos
originales. La información para habilitar esta opción de configuración
en Outlook 2002 puede encontrarse en el siguiente artículo de Knowledge
Base:
http://support.microsoft.com/default.aspx?scid=kb;es;307594
La información para habilitar esta opción de configuración en Outlook
6.0 se puede encontrar en el siguiente artículo de Knowledge Base:
http://support.microsoft.com/default.aspx?scid=kb;es-es;291387
Consecuencias de la solución provisional:
Los mensajes vistos como texto sin formato no pueden contener imágenes,
fuentes especiales, animaciones ni ningún otro tipo de contenido
enriquecido. Además:
-
Los cambios se aplican al panel de vista previa y a los mensajes
abiertos.
-
Las imágenes se convierten en archivos adjuntos para evitar perder el
contenido del mensaje.
-
Como el formato del mensaje sigue siendo de texto
enriquecido (RTF) o HTML en el almacén, el modelo de objetos
(soluciones de código personalizado) puede comportarse
inesperadamente, ya que el mensaje todavía está en ese formato en el
almacén de correo.
Las soluciones y demás factores atenuantes de la vulnerabilidad de
categorización incorrecta de direcciones URL
CAN-2003-1025 pueden encontrarse en el artículo 833786:
Pasos
que le ayudarán a identificar y a protegerse contra sitios Web e hipervínculos malintencionados creados como engaño (falseados)”
de Microsoft Knowledge Base. Microsoft también proporciona consejos a
los consumidores para evitar ser engañados en sitios Web suplantados
en el sitio Web de seguridad de Microsoft.
|
|
|
|
| |
|
Preguntas más frecuentes |
|
|
|
|
¿Qué puntos vulnerables elimina esta actualización?
Ésta es una actualización acumulativa que incluye la funcionalidad de
todas las actualizaciones lanzadas anteriormente para Internet Explorer.
Además, esta actualización elimina los siguientes puntos vulnerables
descubiertos recientemente:
-
Una
vulnerabilidad que podría permitir a un intruso ejecutar código
arbitrario en el sistema del usuario.
-
Una
vulnerabilidad que podría permitir a un intruso guardar código
arbitrario en el sistema del usuario.
-
Una
vulnerabilidad que podría permitir a un intruso reflejar
incorrectamente la ubicación de una página Web en la barra de
direcciones de una ventana de Internet Explorer.
¿Qué sistemas están más expuestos a esta vulnerabilidad?
Cualquier sistema que tenga instalado Internet Explorer está expuesto a
estos puntos vulnerables. Esta actualización se debe instalar
inmediatamente en todos los sistemas. Sin embargo, para que se produzca
una acción de este tipo, estos puntos vulnerables requieren que el
usuario haya iniciado sesión y esté utilizando Internet Explorer. Por lo
tanto, cualquier sistema en el que se utilice Internet Explorer de forma
activa (como estaciones de trabajo del usuario) está en riesgo de que se
aprovechen estos puntos vulnerables. Los sistemas en los que no se
utilice Internet Explorer de forma activa (como la mayoría de los
sistemas de servidor) corren un riesgo mínimo.
¿Contiene esta
actualización de seguridad algún otro cambio en las funciones de
Internet Explorer?
Sí. La actualización acumulativa de Internet Explorer también incluye un
cambio en la funcionalidad de Autenticación básica de Internet Explorer.
La actualización evita que se traten los nombres de usuario y las
contraseñas de las direcciones URL de tipo HTTP, HTTP con Nivel de
sockets seguro (SSL) o HTTPS en Microsoft Internet Explorer. La sintaxis
de dirección URL siguiente ya no se admite en Internet Explorer ni en el
Explorador de Windows una vez instalada esta actualización de software:
http(s)://nombredeusuario:contraseña@servidor/recurso.ext
Para obtener más información acerca de este cambio, consulte este tema
concreto en la sección Preguntas más frecuentes de este boletín o el
artículo
834489
de Microsoft Knowledge Base.
Asimismo, esta actualización impedirá ir a las direcciones URL de tipo
“nombredeusuario:contraseña@host.com” para XMLHTTP. Microsoft está
creando actualmente una actualización de MSXML que resolverá este
problema específicamente para XMLHTTP. Para obtener más información de
este cambio, consulte el artículo
832414, en inglés, de Microsoft Knowledge Base.
¿Contiene esta actualización algún otro cambio en relación con la
seguridad?
Esta actualización también mejora un cambio realizado en Internet
Explorer 6
Service Pack 1,
que impide a las páginas Web de la zona Internet explorar en la zona
Equipo local. Este cambio se introdujo para atenuar los efectos de los
nuevos puntos vulnerables que pudieran surgir entre dominios. Los
cambios introducidos en esta actualización suponen una mejora de las
restricciones de Internet Explorer 6 Service Pack 1.
Estoy ejecutando Internet Explorer en Windows Server 2003. ¿Atenúa esto
alguna de estas vulnerabilidades?
Sí. De forma predeterminada, Internet Explorer en Windows Server 2003 se
ejecuta en un modo restringido conocido como Configuración de seguridad
mejorada, que atenúa la vulnerabilidad entre dominios del registro de
traslados
CAN-2003-1026 y la vulnerabilidad de operación de arrastrar y colocar
CAN-2003-1027. La Configuración de seguridad mejorada en Windows
Server 2003 no atenúa la vulnerabilidad de categorización incorrecta de
direcciones URL
CAN-2003-1025.
¿Qué es la Configuración de seguridad mejorada de Internet Explorer?
Se trata de un grupo de valores preconfigurados de Internet Explorer que
reducen la posibilidad de que los usuarios o administradores descarguen
o ejecuten contenido Web peligroso en un servidor. La Configuración de
seguridad mejorada de Internet Explorer reduce este riesgo al modificar
varios valores de configuración relacionados con la seguridad, incluidos
los de las fichas Seguridad y Opciones Avanzadas del
cuadro de diálogo Opciones de Internet. Algunas de las
modificaciones principales son las siguientes:
-
El nivel de
seguridad para la zona Internet está establecido en Alta. Esta
configuración deshabilita las secuencias de comandos, los controles
ActiveX, la máquina virtual Java de Microsoft (Microsoft JVM), el
contenido HTML y las descargas de archivos.
-
Se ha
deshabilitado la detección automática de sitios de intranet. Esta
configuración asigna a la zona Internet todos los sitios Web de
intranet y todas las rutas de acceso que cumplen la Convención de
nomenclatura universal (UNC, Universal Naming Convention) y que
no aparecen enumerados de forma específica en la zona Intranet local.
-
Se han
deshabilitado la instalación a petición y las extensiones de
explorador que no sean de Microsoft. Esta configuración impide que las
páginas Web instalen componentes de modo automático y que se ejecuten
las extensiones que no sean de Microsoft.
-
Se ha
deshabilitado el contenido multimedia. Esta configuración impide que
se ejecuten archivos de música, animación y clips de vídeo.
Si deshabilita la Configuración de seguridad mejorada de Internet
Explorer, las protecciones puestas en práctica para evitar el
aprovechamiento de esta vulnerabilidad quedarían sin efecto. Si desea
obtener más información sobre la Configuración de seguridad mejorada de
Internet Explorer, consulte la guía de administración de la
configuración de seguridad mejorada de Internet Explorer (Managing
Internet Explorer Enhanced Security Configuration guide), en inglés.
Para ello, visite el siguiente sitio Web de Microsoft:
www.microsoft.com/downloads/details.aspx?FamilyID=d41b036c-e2e1-4960-99bb-9757f7e9e31b&DisplayLang=en
¿Existe alguna configuración de Windows Server 2003 que pueda hacer que
se deshabilite la Configuración de seguridad mejorada de Internet
Explorer?
Sí. Es muy probable que los
administradores de sistemas que hayan implementado Windows Server 2003
como servidor Terminal Server deshabiliten la Configuración de seguridad
mejorada de Internet Explorer con el fin de que los usuarios de Terminal
Server puedan utilizar Internet Explorer sin restricciones.
CAN-2003-1026: La vulnerabilidad entre dominios del registro de
traslados podría permitir la ejecución remota de código
¿Cuál es el alcance de esta vulnerabilidad?
Este punto vulnerable podría permitir a un operador de un sitio Web
tener acceso a la información de otro dominio de Internet o intranet, o
al sistema local del usuario mediante la introducción de un código
diseñado especialmente cuando el explorador analiza direcciones URL de
secuencias de comandos con formato especial del registro de traslados.
Esto podría permitir al intruso ejecutar el archivo que desee en el
sistema del usuario.
¿Cuál es la causa de esta vulnerabilidad?
El proceso
utilizado para validar direcciones URL de secuencia de comandos en el
registro de traslados de Internet Explorer provoca esta vulnerabilidad.
¿Qué es el
registro de traslados de Internet Explorer?
El registro de
traslados de Internet Explorer es una interfaz que mantiene una pila de
exploración del control WebBrowser. Internet Explorer utiliza
esta pila para mantener una lista de sitios Web visitados recientemente.
Por ejemplo, la ficha Historial de Internet Explorer se rellena
con información procedente del registro de traslados. El registro de
traslados también se utiliza para recuperar la dirección URL que se va a
mostrar en la barra de direcciones. Para obtener información detallada
sobre la interfaz del registro de traslados y sobre cómo la utiliza el
control WebBrowser, consulte
MSDN.
¿Cuál es el modelo de seguridad entre dominios que implementa Internet
Explorer?
Una de las principales funciones
de seguridad de un explorador es asegurar que las ventanas que están
bajo el control de diferentes sitios Web no interfieran entre sí o
tengan acceso a los datos de las demás, al tiempo que se sigue
permitiendo que las de un mismo sitio interactúen. Para diferenciar
entre ventanas de explorador cooperativas y no cooperativas, se ha
creado el concepto de "dominio" en este contexto. Un dominio es un
límite secundario: cualquier ventana abierta dentro del mismo dominio
puede interactuar entre sí, a diferencia de las que pertenecen a
dominios diferentes, que no pueden. El modelo de seguridad entre
dominios es la parte de la arquitectura de seguridad que evita que las
ventanas de dominios diferentes interfieran entre sí.
El ejemplo más sencillo de dominio se asocia a los sitios Web. Si visita
el sitio http://www.microsoft.com y allí abre una ventana para
http://www.microsoft.com/security, las dos ventanas pueden interactuar
entre sí porque pertenecen al mismo dominio, http://www.microsoft.com.
Sin embargo, si visita http://www.microsoft.com y allí abre una ventana
para otro sitio Web, el modelo de seguridad entre dominios protege a
cada una de las ventanas de las otras. El concepto es incluso más
extenso. El sistema de archivos de su equipo local también es un
dominio. Así, por ejemplo, http://www.microsoft.com podría abrir una
ventana y mostrar un archivo del disco duro. Sin embargo, como el
sistema de archivos local está en un dominio diferente al del sitio Web,
el modelo de seguridad entre dominios debería evitar que el sitio Web
leyera el archivo que se está mostrando.
El modelo de seguridad entre dominios de Internet Explorer se puede
configurar mediante la configuración de zona de seguridad de Internet
Explorer.
¿Qué son las zonas de seguridad de Internet Explorer?
Las
zonas de seguridad
de Internet Explorer son un sistema que divide el contenido en línea en
categorías o zonas basándose en su grado de confianza. Se pueden asignar
dominios Web específicos a una zona, dependiendo de la confianza que se
tenga en el contenido de cada dominio. Posteriormente, la zona restringe
las capacidades del contenido Web según la directiva de la misma. De
forma predeterminada, la mayoría de los dominios de Internet se tratan
como parte de la zona Internet, que tiene una directiva predeterminada
que impide a las secuencias de comandos y demás código activo tener
acceso a los recursos del sistema local.
¿Qué problema tiene Internet Explorer para calcular la seguridad entre
dominios?
Internet Explorer evalúa la
seguridad cuando una página Web solicita acceso a recursos de otra zona
de seguridad. Sin embargo, existe una vulnerabilidad en el modo de
calcular la seguridad cuando se analizan ciertas direcciones URL de
secuencia de comandos con un formato especial del registro de traslados.
Como resultado, un intruso podría evitar las comprobaciones de
seguridad.
¿Qué podría hacer un intruso que aprovechara esta vulnerabilidad?
Un intruso podría usar este punto
vulnerable para crear una página Web que le permitiera tener acceso a
los datos de diversos dominios. Esto incluiría el acceso a la
información de otros sitios Web, de archivos locales del sistema o de
archivos ejecutables que ya existan en el sistema de archivos locales.
Esto también incluiría la ejecución de los archivos que desee el intruso
en el sistema de archivos locales del usuario.
¿Cómo podría aprovechar un intruso esta vulnerabilidad?
Un intruso podría aprovechar este
punto vulnerable para crear una página Web o un mensaje de correo
electrónico HTML e incitar al usuario a visitar la página o leer el
mensaje. Cuando el usuario visitara la página o abriera el mensaje de
correo electrónico, el intruso podría obtener acceso a la información de
otros sitios Web o archivos locales del sistema, o provocar la ejecución
de secuencias de comandos en el contexto de seguridad de la zona Equipo
local.
¿Cómo funciona esta actualización?
La actualización corrige este
punto vulnerable al garantizar que se realizan las comprobaciones de
seguridad entre dominios cuando se analizan las direcciones URL de
secuencia de comandos del registro de traslados.
CAN-2003-1027: La vulnerabilidad de la operación de arrastrar y colocar
del puntero de función puede permitir que se guarde código arbitrario en
el sistema del usuario
¿Cuál es el alcance de esta vulnerabilidad?
Esta vulnerabilidad implica el uso de un evento de arrastrar y colocar
en Internet Explorer con punteros de función y podría causar el
almacenamiento de un archivo en el sistema del usuario cuando éste
hiciera clic en un vínculo (el usuario no vería ningún cuadro de diálogo
solicitándole la aprobación de la descarga). Para aprovecharse de esta
vulnerabilidad, el intruso tendría que alojar un sitio Web o crear un
mensaje de correo electrónico en formato HTML que contuviera un vínculo
diseñado con ese fin y a continuación persuadir a un usuario para que
visitara dicho sitio. Cuando el usuario visitara la página o abriera el
mensaje de correo electrónico, e hiciera clic en el vínculo
malintencionado, el intruso podría guardar su propio código en una
ubicación designada del equipo del usuario.
¿Cuál es la causa de esta vulnerabilidad?
Esta vulnerabilidad está causada por el proceso de validación de ciertos
eventos de HTML dinámico (DHTML) utilizado por la tecnología de
arrastrar y colocar. Como resultado, se puede descargar un archivo en el
sistema del usuario después de que el usuario haya hecho clic en un
vínculo.
¿Qué son los eventos DHTML?
Los eventos DHTML son acciones especiales proporcionadas por el modelo
de objetos DHTML. Se pueden utilizar en el código de las secuencias de
comandos para agregar contenido dinámico a un sitio Web. Para obtener
más información sobre eventos DHTML, visite
MSDN.
¿Para qué puede utilizar un intruso esta vulnerabilidad?
Un intruso que consiguiera aprovechar con éxito esta vulnerabilidad
podría guardar el código que deseara en el sistema de archivos local del
usuario. Aunque este código no se podría ejecutar directamente a través
de esta vulnerabilidad, el sistema operativo podría abrir el archivo si
se copia en una ubicación sensible o un usuario podría hacer clic en él
sin darse cuenta, con lo que provocaría la ejecución del código del
intruso.
¿Cómo podría aprovechar un intruso esta vulnerabilidad?
Para aprovecharse de esta vulnerabilidad, el intruso tendría que alojar
un sitio Web que contuviera una página Web o un mensaje de correo
electrónico en formato HTML con un vínculo diseñado con tal fin y, a
continuación, persuadir a un usuario de que visitara dicho sitio. Si el
usuario ha hecho clic en el vínculo, el código que desee el intruso se
guardará en la ubicación de destino del equipo del usuario.
¿Qué sistemas están más expuestos a esta vulnerabilidad?
Cualquier sistema que tenga instalado Internet Explorer corre el riesgo
de sufrir esta vulnerabilidad, por lo que se debe instalar
inmediatamente esta actualización en todos los sistemas. Sin embargo,
para que se produzca una acción de este tipo, estos puntos vulnerables
requieren que el usuario haya iniciado sesión y esté utilizando Internet
Explorer. Por lo tanto, cualquier sistema en el que se utilice Internet
Explorer de forma activa (como estaciones de trabajo del usuario) está
expuesto a estos puntos vulnerables. Los sistemas en los que no se
utilice Internet Explorer de forma activa (como la mayoría de los
sistemas de servidor) corren un riesgo mínimo.
¿Cómo funciona esta actualización?
Para corregir esta vulnerabilidad, esta actualización evalúa
correctamente las operaciones de arrastrar y colocar mediante punteros
de función durante los eventos DHTML.
CAN-2003-1025: La vulnerabilidad de categorización incorrecta de
direcciones URL podría permitir a un intruso suplantar sitios Web
¿Cuál es el alcance de esta vulnerabilidad?
Existe una
vulnerabilidad que afecta a la barra de direcciones que utiliza Internet
Explorer para mostrar el sitio Web que se está visitando en ese momento.
Este punto vulnerable podría provocar que apareciera en la barra de
direcciones una dirección URL incorrecta que no correspondiera a la
página Web mostrada en Internet Explorer. Por ejemplo, un intruso podría
crear un vínculo que, cuando el usuario hiciera clic en él, mostrara
http://www.tailspintoys.com en la barra de direcciones, pero
que en realidad alojara contenido de otro sitio Web, por ejemplo,
http://www.wingtiptoys.com. (Nota: estos sitios Web se
mencionan únicamente a modo de ejemplo y ambos redirigen al usuario a
http://www.microsoft.com.)
¿Cuál es la causa de esta vulnerabilidad?
Esta vulnerabilidad
tiene su origen en un error de categorización que se produce cuando
Internet Explorer analiza los caracteres especial de una dirección URL
HTTP.
¿Qué es una
dirección URL HTTP?
Una dirección URL
HTTP es un localizador de recursos universal utilizado para designar la
dirección de un recurso disponible mediante el protocolo HTTP. Mientras
que la sintaxis genérica de un URI se define en
RFC 2396 - Identificadores de recursos universales:
Sintaxis genérica, la sintaxis específica de las direcciones URL
HTTP se define en
RFC 2616 - Protocolo de transferencia de hipertexto --
HTTP/1.1:
http_URL = "http:" "//" host [ ":" port ] [ abs_path [ "?"
query ]] span>
¿Para qué puede utilizar un intruso esta vulnerabilidad?
Un intruso podría utilizar esta vulnerabilidad para crear una página Web
que mostrara la dirección URL que prefiera en la barra de direcciones y
un sitio Web distinto en la ventana del explorador. Podría utilizar este
punto vulnerable para crear una página que suplantara a un sitio
legítimo. Por ejemplo, el intruso podría crear una página Web parecida
al sitio Web de correo electrónico en línea del usuario. Como esta
página Web se encontraría alojada en un sitio Web malintencionado, el
intruso podría utilizar este punto vulnerable para mostrar una dirección
URL de apariencia legítima en la barra de direcciones. Al ver esta
dirección URL, el usuario podría desvelar por error información
confidencial en el sitio Web del intruso.
¿Cómo podría aprovechar un intruso esta vulnerabilidad?
Para aprovecharse de esta vulnerabilidad, el intruso tendría que alojar
un sitio Web que contuviera una página Web
con un vínculo diseñado especialmente. A continuación, tendría que
persuadir a un usuario para que hiciera clic en él. El intruso también
podría crear un mensaje de correo electrónico HTML con un vínculo
diseñado especialmente y persuadir al usuario para que lo lea y haga
clic en el vínculo. Si el usuario hiciera clic en este vínculo, se
podría abrir una ventana de Internet Explorer con la dirección URL HTTP
que deseara el intruso en la barra de direcciones y que mostrara
contenido procedente del sitio Web elegido por él.
¿Cómo funciona esta actualización?
Para corregir esta
vulnerabilidad, la actualización se asegura de que Internet Explorer
analiza correctamente los caracteres especiales de las direcciones URL
con el fin de garantizar que la barra de direcciones muestra la
dirección apropiada. Esta actualización también hace que Internet
Explorer procese las direcciones URL HTTP de manera más conforme con la
norma
RFC 2616 - Protocolo de transferencia de hipertexto --
HTTP/1.1,
ya que elimina la opción de realizar una autenticación básica mediante
el formato “nombredeusuario:contraseña@”. Este cambio del funcionamiento
predeterminado de Internet Explorer se explica con más detalle en el
artículo
834489 de Microsoft Knowledge Base.
|
|
|
|
| |
|
Información sobre la revisión de
seguridad |
|
|
|
|
|
Requisitos previos:
Microsoft ha probado las versiones de Windows y de Internet Explorer enumeradas
en este boletín para determinar si estos puntos vulnerables podrían afectarlas y
para confirmar que la actualización que describe este boletín los corrige.
Si desea instalar la versión para Internet Explorer 6 Service Pack 1 (SP1) de
esta actualización, debe ejecutar Internet Explorer 6 SP1 (versión
6.00.2800.1106) en una de las siguientes versiones de Windows:
-
Microsoft Windows NT® Workstation 4.0 Service Pack 6a
-
Microsoft Windows NT Server 4.0 Service Pack 6a
-
Microsoft Windows NT Server 4.0 Terminal Server Edition, Service Pack 6
-
Microsoft Windows 2000 Service Pack 2, Service Pack 3, Service Pack 4
-
Microsoft Windows XP
-
Microsoft Windows XP Service Pack 1
Si desea instalar la versión para Internet Explorer 6 de esta actualización,
debe ejecutar Internet Explorer 6 (versión 6.00.2600.0000) en Windows XP.
Si desea instalar la versión para Internet Explorer 5.5 de esta actualización,
debe ejecutar Internet Explorer 5.5 Service Pack 2 (versión 5.50.4807.2300) en
Microsoft Windows Millennium Edition.
Nota: Microsoft Windows Millennium Edition disfruta actualmente de un servicio
técnico ampliado. Consulte el
aviso siguiente (en inglés) para obtener más información.
Si desea instalar la versión para Internet Explorer 5.01 de esta actualización,
debe ejecutar una de las siguientes versiones:
Internet Explorer 5.01 Service Pack 4 (versión 5.00.3700.1000) en Windows 2000
SP4
Internet Explorer 5.01 Service Pack 3 (versión 5.00.3502.1000) en Windows 2000
SP3
Internet Explorer 5.01 Service Pack 2 (versión 5.00.3502.1000) en Windows 2000
SP2
Nota: las versiones de Windows y de Internet Explorer que no se mencionan en
este artículo ya no reciben soporte técnico. Aunque puede instalar algunos de
los paquetes de actualización descritos en este artículo en estas versiones de
Windows y de Internet Explorer, Microsoft no ha probado estas versiones para
determinar si estos puntos vulnerables podrían afectarlas y para confirmar que
la actualización que describe este boletín los corrige. Microsoft recomienda que
realice la actualización a una versión admitida de Windows y de Internet
Explorer y, a continuación, que aplique la actualización adecuada.
Si desea más información sobre cómo determinar qué versión de Internet Explorer
está ejecutando, haga clic en el siguiente número de artículo para verlo en
Microsoft Knowledge Base:
Cómo determinar qué versión de Internet Explorer está instalada
Si desea más información sobre los ciclos de vida de soporte técnico de los
componentes de Windows, visite el sitio Web
Microsoft Support Lifecycle (Ciclo de vida del soporte técnico de
Microsoft), en inglés.
Si desea más información sobre cómo obtener el Service Pack más reciente de
Internet Explorer 6, haga clic en el siguiente número de artículo para verlo en
Microsoft Knowledge Base:
Cómo obtener el Service Pack más reciente para Internet Explorer 6
Si desea más información sobre cómo obtener el Service Pack más reciente para
Internet Explorer 5.5, haga clic en el siguiente número de artículo para verlo
en Microsoft Knowledge Base:
Cómo obtener el Service Pack más reciente para Internet Explorer 5.5
Si desea más información sobre cómo obtener el Service Pack más reciente para
Internet Explorer 5.01, haga clic en el siguiente número de artículo para verlo
en Microsoft Knowledge Base:
Cómo obtener el Service Pack más reciente de Internet Explorer 5.01
Requisitos de reinicio
Debe reiniciar el equipo para finalizar la instalación. No tiene que iniciar
sesión como administrador después de reiniciar el equipo para ninguna versión de
esta actualización.
Estado de las actualizaciones anteriores
Esta actualización sustituye a la
MS03-048: Noviembre de 2003, Actualización acumulativa de Internet Explorer
(824145).
Información sobre la instalación
Las versiones de Windows Server 2003 de esta actualización de seguridad
(incluida Windows XP 64-Bit Edition, Versión 2003) admiten los siguientes
parámetros de instalación:
/help Muestra las
opciones de la línea de comandos
Modos de instalación
/quiet Modo silencioso
(sin interacción del usuario ni mensajes)
/passive Modo desatendido (sólo barra de
progreso)
/uninstall Desinstala el paquete
Opciones de reinicio
/norestart No reinicia al
completarse la instalación.
/forcerestart Reinicia después de la instalación
Opciones especiales
/l Enumera los paquetes de actualización y las
revisiones de Windows instalados
/o Sobrescribe los archivos OEM sin preguntar
/n No hace una copia de seguridad de los archivos
necesarios para la desinstalación
/f Obliga a otros programas a cerrarse cuando se
apaga el equipo
Información sobre la implementación
Para instalar la actualización de seguridad de Windows Server 2003 32-bit sin
intervención del usuario, utilice el siguiente comando:
windowsserver2003-kb832894-x86-enu.exe /u /q
Para instalar la actualización de seguridad sin obligar al equipo a reiniciarse,
introduzca el siguiente comando:
windowsserver2003-kb824145-x86-enu.exe /z
Nota:
estos parámetros pueden combinarse en el mismo comando. Para mantener la
compatibilidad con productos anteriores, esta actualización de seguridad también
admite los parámetros de instalación que utilizan las versiones anteriores de la
utilidad de instalación. No obstante, debería dejar de utilizar los parámetros
anteriores porque puede que no sean compatibles con las actualizaciones de
seguridad futuras.
Los otros paquetes de esta actualización de seguridad admiten los siguientes
parámetros de instalación:
/q: Utilizar el modo silencioso o suprimir mensajes cuando se extraen
los archivos.
/q:u: Utilizar el modo silencioso de usuario. El modo silencioso de
usuario presenta algunos cuadros de diálogo al usuario.
/q:a: Utilizar el modo silencioso de administrador. El modo
silencioso de administrador no presenta ningún cuadro de diálogo al usuario.
/t: ruta de acceso: Especificar la ubicación de la carpeta
temporal que se utiliza en la instalación o la carpeta de destino donde se
extraen los archivos (cuando se utiliza el parámetro /c).
/c: Extraer los archivos sin instalarlos. Si no especifica el
parámetro /t:
ruta de acceso, se le solicita que indique una carpeta de destino.
/c: ruta de acceso: Especificar la ruta de acceso y el nombre
del archivo Setup .inf o .exe.
/r:n: No reiniciar nunca el equipo después de la instalación.
/r:i: Pedir al usuario que reinicie el equipo si es necesario,
excepto cuando este parámetro se utilice con el parámetro /q:a.
/r:a: Reiniciar siempre el equipo después de la instalación.
/r:s: Reiniciar el equipo después de la instalación sin preguntar al
usuario.
/n:v: No comprobar la versión. Utilizar este parámetro con precaución
para instalar la actualización de cualquier versión de Internet Explorer.
Por ejemplo, para instalar la actualización sin intervención del usuario y sin
obligar al equipo a reiniciarse, utilice el siguiente comando:
q832894.exe /q:a /r:n
Comprobación de la instalación de la actualización
Para comprobar que la actualización de seguridad está instalada en un
equipo afectado, puede tratar de utilizar la herramienta Baseline Security
Analyzer (MBSA) de Microsoft. Esta herramienta permite a los administradores
examinar sistemas remotos y locales para detectar las actualizaciones de
seguridad que faltan así como las configuraciones de seguridad incorrectas más
comunes. Para conseguir información adicional acerca de MBSA, visite el sitio
Web de
Microsoft Baseline Security Analyzer, (en inglés) o bien la información
contenida en castellano en
esta página web de Technet Seguridad, así como comprobar los archivos que
instalan la actualización de seguridad mediante uno de los siguientes métodos:
Confirmar que en el campo Actualizar versiones del cuadro de diálogo Acerca de
Internet Explorer aparece Q832894. No puede utilizar este método en
Windows Server 2003 o en Windows XP 64-Bit Edition, Versión 2003, porque el
paquete no actualiza el campo Actualizar versiones de estas versiones de
Windows.
Comparar las versiones de los archivos actualizados del equipo con los
archivos enumerados en la sección "Información
sobre archivos" de este boletín.
Confirmar que existen las siguientes entradas en el Registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Hotfix\KB832894
Confirmar que en la siguiente clave del Registro aparece el
valor DWORD 1 en IsInstalled:
HKEY_LOCAL_MACHINE\Software\Microsoft\Active Setup\Installed Components\{ eddbec60-89cb-44ef-8291-0850fd28ff6a}
Información sobre la eliminación
Para desinstalar la actualización, utilice la herramienta Agregar o quitar
programas del Panel de control. Haga clic en Internet Explorer Q832894 y, a
continuación, en Cambiar o quitar (o haga clic en
Agregar o quitar).
En Windows Server 2003 y Windows XP 64-Bit Edition, Versión 2003, los
administradores del sistema pueden utilizar la utilidad Spunist.exe para quitar
esta actualización de seguridad. La utilidad Spuninst.exe se encuentra en la
carpeta %Windir%\$NTUninstallKB832894$\Spuninst. Esta utilidad admite los
siguientes parámetros de instalación:
/?: Mostrar la lista de parámetros de instalación.
/u: Usar el modo desatendido.
/f: Obligar a otros programas a cerrarse cuando se apaga el equipo.
/z: No reiniciar al completarse la instalación.
/q: Usar el modo silencioso (sin interacción del usuario).
En el resto de versiones de Windows, los administradores del sistema pueden
utilizar la utilidad Ieuninst.exe para desinstalar esta actualización. Esta
actualización de seguridad instala la utilidad Ieuninst.exe en la carpeta
%Windir%. Esta utilidad admite los siguientes parámetros de instalación:
/?: Mostrar la lista de parámetros admitidos.
/z: No reiniciar al completarse la instalación.
/q: Usar el modo silencioso (sin interacción del usuario).
Por ejemplo, para desinstalar esta actualización de forma silenciosa, utilice el
siguiente comando:
c:\windows\ieuninst /q c:\windows\inf\q832894.inf
Nota: este comando supone que Windows está instalado en la carpeta
C:\Windows.
Información sobre archivos
La versión inglesa de esta revisión tiene los atributos de archivo (o
posteriores) indicados en la tabla siguiente. Las fechas y horas de estos
archivos se muestran en el horario universal coordinado (UTC). Cuando se
consulta la información de archivo, ésta se convierte al horario local. Para
averiguar la diferencia entre el horario universal coordinado y el local,
utilice la ficha Zona horaria en la herramienta Fecha y hora del Panel de
control.
Nota:
debido a las dependencias entre archivos, esta actualización puede contener
archivos adicionales.
Para obtener información sobre la actualización de seguridad específica para su
plataforma, haga clic en el vínculo apropiado.
| |
|
Internet Explorer 6 SP1 para Windows XP, Windows XP SP1, Windows 2000 SP2, Windows 2000 SP3, Windows 2000 SP4, Windows NT 4.0 SP6a
|
| |
|
Fecha |
Hora |
Versión |
Tamaño |
Nombre de archivo |
Plataforma |
22-Jan-2004 |
00:21 |
6.00.2800.1400 |
1,026,048 |
Browseui.dll |
X86 |
22-Jan-2004 |
00:19 |
6.00.2800.1400 |
2,795,520 |
Mshtml.dll |
X86 |
22-Jan-2004 |
00:15 |
6.00.2800.1400 |
1,339,904 |
Shdocvw.dll |
X86 |
21-Jan-2004 |
23:18 |
6.00.2800.1400 |
395,264 |
Shlwapi.dll |
X86 |
22-Jan-2004 |
00:20 |
6.00.2800.1400 |
484,352 |
Urlmon.dll |
X86 |
22-Jan-2004 |
00:16 |
6.00.2800.1400 |
588,288 |
Wininet.dll |
X86 |
|
| |
|
Internet Explorer
6 SP1 (64-Bit) para Windows XP 64-Bit Edition
|
| |
|
Fecha |
Hora |
Versión |
Tamaño |
Nombre de archivo |
Plataforma |
22-Jan-2004 |
02:00 |
6.00.2800.1400 |
2,855,936 |
Browseui.dll |
IA64 |
22-Jan-2004 |
02:11 |
6.00.2800.1400 |
9,083,392 |
Mshtml.dll |
IA64 |
22-Jan-2004 |
01:59 |
6.00.2800.1400 |
3,650,560 |
Shdocvw.dll |
IA64 |
22-Jan-2004 |
01:55 |
6.00.2800.1400 |
1,095,168 |
Shlwapi.dll |
IA64 |
22-Jan-2004 |
02:13 |
6.00.2800.1400 |
1,415,680 |
Urlmon.dll |
IA64 |
22-Jan-2004 |
02:13 |
6.00.2800.1400 |
1,796,608 |
Wininet.dll |
IA64 |
|
| |
|
Internet Explorer
6 SP1 on Windows Server 2003
|
| |
|
RTMQFE
Fecha |
Hora |
Versión |
Tamaño |
Nombre de archivo |
Plataforma |
15-Jan-2004 |
19:00 |
6.00.3790.115 |
1,057,792 |
Browseui.dll |
X86 |
15-Jan-2004 |
19:00 |
6.00.3790.118 |
2,918,912 |
Mshtml.dll |
X86 |
15-Jan-2004 |
19:00 |
6.00.3790.118 |
1,394,688 |
Shdocvw.dll |
X86 |
15-Jan-2004 |
19:00 |
6.00.3790.115 |
509,952 |
Urlmon.dll |
X86 |
15-Jan-2004 |
19:00 |
6.00.3790.118 |
624,640 |
Wininet.dll |
X86 |
RTMGDR
Fecha |
Hora |
Versión |
Tamaño |
Nombre de archivo |
Plataforma |
15-Jan-2004 |
18:28 |
6.00.3790.115 |
1,057,792 |
Browseui.dll |
X86 |
15-Jan-2004 |
18:28 |
6.00.3790.118 |
2,918,912 |
Mshtml.dll |
X86 |
15-Jan-2004 |
18:28 |
6.00.3790.118 |
1,394,688 |
Shdocvw.dll |
X86 |
15-Jan-2004 |
18:28 |
6.00.3790.115 |
509,952 |
Urlmon.dll |
X86 |
15-Jan-2004 |
18:28 |
6.00.3790.118 |
624,640 |
Wininet.dll |
X86 |
Nota:
Al instalar esta actualización de seguridad, el programa de
instalación comprueba si alguno de los archivos que se van a
actualizar en el equipo ha sido actualizado anteriormente mediante
un hotfix de Microsoft. Si ha instalado anteriormente un hotfix con
el fin de actualizar alguno de estos archivos, el programa de
instalación copia los archivos RTMQFE en el equipo. De lo contrario,
el programa de instalación copia los archivos RTMGDR. Si desea
conseguir información adicional, haga clic en el número siguiente
para ver el artículo correspondiente de Microsoft Knowledge Base:
824994
Description of the Contents of a Windows Server 2003 Product Update
Package (Descripción del contenido de un paquete de actualización de
producto de Windows Server 2003), en inglés.
|
| |
|
Internet Explorer
6 SP1 (64-Bit) en versiones Windows 2003 64-Bit y en Windows XP
64-Bit Edition, Versión 2003
|
| |
|
RTMQFE
Fecha |
Hora |
Versión |
Tamaño |
Nombre de archivo |
Plataforma |
15-Jan-2004 |
19:02 |
6.00.3790.115 |
2,536,960 |
Browseui.dll |
IA64 |
15-Jan-2004 |
19:02 |
6.00.3790.118 |
8,212,992 |
Mshtml.dll |
IA64 |
15-Jan-2004 |
19:02 |
6.00.3790.118 |
3,361,792 |
Shdocvw.dll |
IA64 |
15-Jan-2004 |
19:02 |
6.00.3790.115 |
1,272,320 |
Urlmon.dll |
IA64 |
15-Jan-2004 |
19:02 |
6.00.3790.118 |
1,503,744 |
Wininet.dll |
IA64 |
15-Jan-2004 |
19:02 |
6.00.3790.115 |
1,057,792 |
Wbrowseui.dll |
X86 |
15-Jan-2004 |
19:02 |
6.00.3790.118 |
2,918,912 |
Wmshtml.dll |
X86 |
15-Jan-2004 |
19:02 |
6.00.3790.118 |
1,394,688 |
Wshdocvw.dll |
X86 |
15-Jan-2004 |
19:02 |
6.00.3790.115 |
509,952 |
Wurlmon.dll |
X86 |
15-Jan-2004 |
19:02 |
6.00.3790.118 |
624,640 |
Wwininet.dll |
X86 |
RTMGDR
| Fecha |
Hora |
Versión |
Tamaño |
Nombre de archivo |
Plataforma |
15-Jan-2004 |
18:24 |
6.00.3790.115 |
2,536,960 |
Browseui.dll |
IA64 |
15-Jan-2004 |
18:24 |
6.00.3790.118 |
8,212,992 |
Mshtml.dll |
IA64 |
15-Jan-2004 |
18:24 |
6.00.3790.118 |
3,361,792 |
Shdocvw.dll |
IA64 |
15-Jan-2004 |
18:24 |
6.00.3790.115 |
1,272,320 |
Urlmon.dll |
IA64 |
15-Jan-2004 |
18:24 |
6.00.3790.118 |
1,503,744 |
Wininet.dll |
IA64 |
15-Jan-2004 |
18:24 |
6.00.3790.115 |
1,057,792 |
Wbrowseui.dll |
X86 |
15-Jan-2004 |
18:24 |
6.00.3790.118 |
2,918,912 |
Wmshtml.dll |
X86 |
15-Jan-2004 |
18:24 |
6.00.3790.118 |
1,394,688 |
Wshdocvw.dll |
X86 |
15-Jan-2004 |
18:24 |
6.00.3790.115 |
509,952 |
Wurlmon.dll |
X86 |
15-Jan-2004 |
18:24 |
6.00.3790.118 |
624,640 |
Wwininet.dll |
X86 |
Nota:
al instalar esta actualización de seguridad, el programa de instalación
comprueba si alguno de los archivos que se van a actualizar en el
equipo ha sido actualizado anteriormente mediante un hotfix de
Microsoft. Si ha instalado anteriormente un hotix para actualizar
alguno de estos archivos, el programa de instalación copia los
archivos RTMQFE en el equipo. De lo contrario, el programa de
instalación copia los archivos RTMGDR.
Si desea conseguir información adicional, haga clic en el número siguiente para
ver el artículo correspondiente de Microsoft Knowledge Base:
824994 "Description of the Contents of a Windows Server 2003 Product
Update Package" (Descripción del contenido de un paquete de actualización de
producto de Windows Server 2003), en inglés.
|
| |
|
Internet Explorer
6 para Windows XP
|
| |
|
Fecha |
Hora |
Versión |
Tamaño |
Nombre de archivo |
Plataforma |
16-Jan-2004 |
11:29 |
6.00.2737.1600 |
1,024,512 |
Browseui.dll |
X86 |
08-Jan-2004 |
22:21 |
6.00.2737.800 |
2,764,288 |
Mshtml.dll |
X86 |
15-Aug-2003 |
20:31 |
6.00.2722.900 |
34,304 |
Pngfilt.dll |
X86 |
05-Mar-2002 |
03:09 |
6.00.2715.400 |
548,864 |
Shdoclc.dll |
X86 |
08-Jan-2004 |
22:23 |
6.00.2737.800 |
1,337,344 |
Shdocvw.dll |
X86 |
15-Aug-2003 |
20:31 |
6.00.2730.1200 |
391,168 |
Shlwapi.dll |
X86 |
15-Aug-2003 |
20:31 |
6.00.2715.400 |
109,568 |
Url.dll |
X86 |
23-Dec-2003 |
21:14 |
6.00.2736.2300 |
481,792 |
Urlmon.dll |
X86 |
08-Jan-2004 |
22:23 |
6.00.2737.800 |
585,216 |
Wininet.dll |
X86 |
|
| |
|
Internet Explorer
5.5 SP2 para Windows Millennium Edition
|
| |
|
Fecha |
Hora |
Versión |
Tamaño |
Nombre de archivo |
Plataforma |
23-Dec-2003 |
18:01 |
5.50.4936.2300 |
815,376 |
Browseui.dll |
X86 |
09-Jan-2004 |
01:08 |
5.50.4937.800 |
2,760,464 |
Mshtml.dll |
X86 |
17-Oct-2002 |
03:01 |
5.50.4922.900 |
48,912 |
Pngfilt.dll |
X86 |
09-Jan-2004 |
01:09 |
5.50.4937.800 |
1,149,712 |
Shdocvw.dll |
X86 |
12-Jun-2003 |
23:24 |
5.50.4930.1200 |
300,816 |
Shlwapi.dll |
X86 |
05-Mar-2002 |
04:53 |
5.50.4915.500 |
84,240 |
Url.dll |
X86 |
23-Dec-2003 |
18:08 |
5.50.4936.2300 |
451,856 |
Urlmon.dll |
X86 |
09-Jan-2004 |
01:09 |
5.50.4937.800 |
483,600 |
Wininet.dll |
X86 |
|
| |
|
Internet Explorer
5.01 para Windows 2000 SP2
|
| |
|
Fecha |
Hora |
Versión |
Tamaño |
Nombre de archivo |
Plataforma |
23-Dec-2003 |
18:40 |
5.00.3525.2300 |
792,848 |
Browseui.dll |
X86 |
09-Jan-2004 |
03:57 |
5.00.3526.800 |
2,283,792 |
Mshtml.dll |
X86 |
19-Aug-2003 |
18:00 |
5.00.3521.1800 |
48,912 |
48,912 |
X86 |
09-Jan-2004 |
04:00 |
5.00.3526.800 |
1,100,048 |
Shdocvw.dll |
X86 |
19-Aug-2003 |
18:00 |
5.00.3521.1800 |
279,824 |
Shlwapi.dll |
X86 |
05-Mar-2002 |
04:53 |
5.50.4915.500 |
84,240 |
Url.dll |
X86 |
23-Dec-2003 |
18:46 |
5.00.3525.2300 |
409,360 |
Urlmon.dll |
X86 |
09-Jan-2004 |
04:02 |
5.00.3526.800 |
447,248 |
Wininet.dll |
X86 |
|
| |
|
Internet Explorer
5.01 para Windows 2000 SP3
|
| |
|
Fecha |
Hora |
Versión |
Tamaño |
Nombre de archivo |
Plataforma |
23-Dec-2003 |
18:40 |
5.00.3525.2300 |
792,848 |
Browseui.dll |
X86 |
09-Jan-2004 |
03:57 |
5.00.3526.800 |
2,283,792 |
Mshtml.dll |
X86 |
19-Aug-2003 |
18:00 |
5.00.3521.1800 |
48,912 |
48,912 |
X86 |
09-Jan-2004 |
04:00 |
5.00.3526.800 |
1,100,048 |
Shdocvw.dll |
X86 |
19-Aug-2003 |
18:00 |
5.00.3521.1800 |
279,824 |
Shlwapi.dll |
X86 |
05-Mar-2002 |
04:53 |
5.50.4915.500 |
84,240 |
Url.dll |
X86 |
23-Dec-2003 |
18:46 |
5.00.3525.2300 |
409,360 |
Urlmon.dll |
X86 |
09-Jan-2004 |
04:02 |
5.00.3526.800 |
447,248 |
Wininet.dll |
X86 |
|
| |
|
Internet Explorer
501 para Windows 2000 SP4
|
| |
|
Fecha |
Hora |
Versión |
Tamaño |
Nombre de archivo |
Plataforma |
23-Dec-2003 |
16:47 |
5.00.3812.2300 |
792,848 |
Browseui.dll |
X86 |
09-Jan-2004 |
04:30 |
5.00.3813.800 |
2,283,792 |
Mshtml.dll |
X86 |
13-Jun-2003 |
02:15 |
5.00.3806.1200 |
48,912 |
Pngfilt.dll |
X86 |
09-Jan-2004 |
04:33 |
5.00.3813.800 |
1,100,048 |
Shdocvw.dll |
X86 |
13-Jun-2003 |
02:07 |
5.00.3806.1200 |
279,824 |
Shlwapi.dll |
X86 |
05-Mar-2002 |
04:53 |
5.50.4915.500 |
84,240 |
Url.dll |
X86 |
23-Dec-2003 |
16:53 |
5.00.3812.2300 |
409,360 |
Urlmon.dll |
X86 |
09-Jan-2004 |
04:35 |
5.00.3813.800 |
447,248 |
Wininet.dll |
X86 |
|
|
|
|
|
|
|
Obtención de otras actualizaciones de seguridad:
Otras Actualizaciones de Seguridad están disponibles en las
siguientes localizaciones:
-
Dispone de actualizaciones de
seguridad en el
Centro
de Descargas de Microsoft y pueden ser más fácilmente encontradas
escribiendo en el apartado de búsqueda "actualización de seguridad" ("security_patch").
Las actualizaciones de seguridad para cada una de
las plataformas las encontrará en el sitio web Windows Update:
http://windowsupdate.microsoft.com
Soporte técnico:
Recursos de Seguridad:
Vea también
http://support.microsoft.com/default.aspx?scid=kb;ES-ES;306460 para la
lista de los actualizaciones de seguridad que tienen limitaciones en la
detección con la herramienta de MBSA
Software Update Services (SUS):
Microsoft Software Update Services (SUS) permite a los administradores
instalar de forma rápida y fiable las actualizaciones críticas y parches de
seguridad más recientes en servidores Windows 2000 y Windows Server 2003, así
como en puestos de trabajo con Windows 2000 Profesional y Windows XP
profesional.
Para más información visite:
www.microsoft.com/spain/technet/seguridad/herramientas/sus.asp
Systems Management Server (SMS):
Para conocer más sobre cómo distribuir e instalar estos parches de seguridad con
Systems Management Server, visite el sitio web indicado a continuación. Systems
Management Server emplea el Microsoft Security Baseline Analizer (MBSA) y la
Herramienta de Detección de Office para proporcionar un mejor nivel de ayuda
para resolver los problemas descritos en los Boletines de Seguridad.
Algunas actualizaciones de software necesitan derechos de Administrador
después de reiniciar el ordenador. Para más información sobre cómo utilizar
Systems Management Server para instalar este tipo de actualizaciones, visite
esta página web de Microsoft:
Nota: las funcionalidades de inventario del Feature Pack de Software
Update Services (SUS) para SMS 2.0 puede utilizarse para planificar las
actualizaciones a ciertos sistemas específicos, y para instalarlas, se puede
emplear la Herramienta de Instalación con Derechos Elevados del Feature Pack de
Administración de SMS 2.0 (SMS 2.0 Administration Feature Pack’s Elevated Rights
Deployment Tool). Esta utilidad permite la instalación en las mejores
condiciones de las actualizaciones que requieren una instalación sobre sistemas
concretos con Systems Management Server, y derechos de Administrador después de
reiniciar la máquina.
Visite también:
www.microsoft.com/spain/technet/productos/sms/default.asp
Renuncia:
La información proporcionada en la Knowledge
Base de Microsoft se suministra "tal cual", sin garantía de ningún tipo.
Microsoft renuncia al otorgamiento de toda otra garantía, tanto expresa como
implícita, incluidas las garantías de comerciabilidad e idoneidad para un
determinado fin. Ni Microsoft Corporation ni sus proveedores se
responsabilizarán en ningún caso de daños directos, indirectos, incidentales
consecuenciales, pérdida de beneficios o daños especiales, aun en el caso de que
se hubiera informado a Microsoft Corporation o a sus proveedores de la
posibilidad de dichos daños. Algunos estados no permiten la exclusión o
limitación de responsabilidad por daños consecuenciales o incidentales y, por
tanto, la limitación anterior puede no serle aplicable.
Revisiones:
|
|
|
|
|
|
|
