Boletín de seguridad de Microsoft MS06-029
Una vulnerabilidad en Microsoft Exchange Server con Outlook Web Access podría permitir la incrustación de secuencias de comandos (912442)
Publicado: junio 13, 2006
Versión: 1.0
Resumen
Quién debería leer este documento: Los clientes que utilizan Microsoft Exchange Server con Microsoft Outlook Web Access
Consecuencia de la vulnerabilidad: Ejecución remota de código
Nivel de gravedad máxima: Importante
Recomendación: Los clientes deberían considerar la aplicación de la actualización de seguridad.
Actualizaciones de seguridad reemplazadas: Ninguna
Advertencias:
En el artículo 912442 de Microsoft Knowledge Base se señalan los problemas detectados que pueden experimentar los clientes al instalar esta actualización de seguridad. Se documentan asimismo las soluciones propuestas. Para obtener más información, consulte el artículo 912442 de Microsoft Knowledge Base.
Ubicaciones de descarga de la actualización de seguridad y software probado:
Software afectado:
Los programas de esta lista han sido probados para determinar si las versiones están afectadas. Por lo que se refiere a otras versiones, quizá ya no sean compatibles con las actualizaciones de seguridad o no se vean afectadas. Para determinar el ciclo de vida del soporte técnico de su producto y versión, visite el sitio Web Ciclo de vida del soporte técnico de Microsoft.
Para obtener más información acerca del conjunto de actualizaciones Exchange 2000 Server Post-Service Pack 3 de agosto de 2004, vea el artículo 870540 de Microsoft Knowledge Base.
Resumen ejecutivo:
Esta actualización resuelve una vulnerabilidad descubierta recientemente, de la que se ha informado de forma privada. La vulnerabilidad se documenta en este boletín, en el apartado "Detalles de la vulnerabilidad". Un atacante que consiguiera aprovechar la vulnerabilidad podría llevar a cabo ataques de incrustación de secuencias de comandos.
Se recomienda considerar la aplicación de la actualización de seguridad.
Gravedad e identificadores de vulnerabilidad:
Vulnerabilidad en Microsoft Exchange Server con Outlook Web Access (CVE-2006-1193) | Ejecución remota de código | Importante | Importante |
Esta clasificación está basada en los tipos de sistemas afectados por la vulnerabilidad, sus patrones típicos de implementación y el efecto que podría tener en ellos que un atacante la aprovechara.
| Preguntas más frecuentes (P+F) relacionadas con esta actualización de seguridad |
¿Cuáles son los problemas detectados que pueden experimentar los clientes al instalar esta actualización de seguridad?
En el artículo 912442 de Microsoft Knowledge Base se señalan los problemas detectados que pueden experimentar los clientes al instalar esta actualización de seguridad en Exchange Server 2003 Service Pack 1 y Exchange Server 2003 Service Pack 2. Se documentan asimismo las soluciones propuestas. Para obtener más información, consulte el artículo 912442 de Microsoft Knowledge Base.
¿Contiene esta actualización algún cambio en relación con la seguridad en su funcionalidad?
Sí. Además de los cambios que se indican en la sección "Detalles de la vulnerabilidad" de este boletín, esta actualización presenta los cambios de funcionalidad de seguridad que se describen a continuación:
Antes de las versiones de Exchange 2003 de la lista anterior, la concesión de permisos de acceso completo al buzón implicaba la concesión de permiso para realizar envíos como propietario del buzón. Esto significaba que otra cuenta con acceso completo al buzón podía enviar mensajes que aparecerían como enviados por el propietario del buzón. Tras la aplicación de la actualización de seguridad a Exchange Server 2003 Service Pack 1 o Exchange Server 2003 Service Pack 2, para que un usuario pueda hacerse pasar por el propietario del buzón, tendrá que otorgarle permisos de envío. Para obtener más información, consulte el artículo 912918 de Microsoft Knowledge Base.
¿Se puede utilizar Microsoft Baseline Security Analyzer (MBSA) para determinar si esta actualización es necesaria?
La tabla siguiente proporciona el resumen de detección MBSA correspondiente a esta actualización de seguridad.
Microsoft Exchange 2000 Server | Sí | Sí |
Microsoft Exchange Server 2003 Service Pack 1 | Sí | Sí |
Microsoft Exchange Server 2003 Service Pack 2 | Sí | Sí |
Microsoft Windows Server 2003 y Microsoft Windows Server 2003 Service Pack 1 | Sí | Sí |
Para obtener más información acerca de MBSA, visite el sitio Web de MBSA.
Para obtener más información acerca de los programas que Microsoft Update y MBSA 2.0 no detectan actualmente, consulte el artículo 895660 de Microsoft Knowledge Base.
¿Se puede utilizar Systems Management Server (SMS) para determinar si esta actualización es necesaria?
La tabla siguiente proporciona el resumen SMS correspondiente a esta actualización de seguridad.
Microsoft Exchange 2000 Server | Sí | Sí |
Microsoft Exchange Server 2003 Service Pack 1 | Sí | Sí |
Microsoft Exchange Server 2003 Service Pack 2 | Sí | Sí |
SMS usa MBSA para la detección. Por lo tanto, SMS presenta la misma limitación descrita anteriormente en este boletín en relación con el software que MBSA no detecta.
En cuanto a SMS 2.0, SMS puede usar el SUS Feature Pack de SMS, que incluye la herramienta Security Update Inventory Tool (SUIT), para detectar actualizaciones de seguridad. SMS SUIT usa el motor de MBSA 1.2.1 para la detección. Para obtener más información acerca de Security Update Inventory Tool, visite el siguiente sitio Web de Microsoft. Para obtener más información acerca de las limitaciones de Security Update Inventory Tool, consulte el artículo 306460 de Microsoft Knowledge Base. SMS SUS Feature Pack incluye también la herramienta Microsoft Office Inventory Tool, que permite detectar las actualizaciones requeridas para las aplicaciones de Microsoft Office.
En cuanto a SMS 2003, SMS puede utilizar la herramienta SMS 2003 Inventory Tool for Microsoft Updates para detectar actualizaciones de seguridad proporcionadas por Microsoft Update y compatibles con Windows Server Update Services. Para obtener más información acerca de la herramienta SMS 2003 Inventory Tool for Microsoft Updates, visite el siguiente sitio Web de Microsoft. Además, SMS 2003 puede usar Microsoft Office Inventory Tool con el fin de detectar las actualizaciones requeridas para las aplicaciones de Microsoft Office.
Para obtener más información acerca de SMS, visite el sitio Web de SMS.
| Detalles de la vulnerabilidad |
| Vulnerabilidad en Microsoft Exchange Server con Outlook Web Access (CVE-2006-1193) |
Existe una vulnerabilidad de incrustación de secuencias de comandos en Exchange Server con Outlook Web Access (OWA). Un atacante podría aprovechar la vulnerabilidad mediante la creación de un mensaje de correo electrónico con una secuencia de comandos especialmente diseñada. Si se utiliza esta secuencia de comandos especialmente diseñada, se ejecutaría en el contexto de seguridad del usuario en el cliente. Los intentos de aprovechar esta vulnerabilidad requieren la interacción del usuario.
| Factores atenuantes de la vulnerabilidad de Microsoft Exchange Server con Outlook Web Access (CVE-2006-1193): |
| • | Para verse afectado, el usuario tendría que utilizar Outlook Web Access para leer un mensaje de correo electrónico creado especialmente. |
| Soluciones para la vulnerabilidad de Microsoft Exchange Server con Outlook Web Access (CVE-2006-1193): |
Microsoft ha probado las siguientes soluciones provisionales. Aunque estas soluciones provisionales no corrigen la vulnerabilidad subyacente, ayudan a bloquear los tipos de ataque conocidos. Cuando una solución temporal reduce la funcionalidad, se identifica en la siguiente sección.
| • | Desactivar Outlook Web Access (OWA) en equipos con Exchange Server
Al desactivar Outlook Web Access, contribuirá a la protección del sistema afectado contra intentos de aprovechar esta vulnerabilidad. Para desactivar Outlook Web Access, siga estos pasos: 1. | Haga clic en Inicio; Seleccione Todos los programas y Microsoft Exchange. Haga clic en Administrador del sistema. | 2. | Amplíe Servidores, Servidor, Protocolos y HTTP. | 3. | Haga clic con el botón secundario en Servidor virtual de Exchange y haga clic en Detener. |
|
Nota Aparecerá una cruz roja sobre el icono del servidor virtual de Exchange para indicar que se ha detenido. A partir de ahora, los usuarios verán el mensaje de error No se puede mostrar la página cada vez que intenten tener acceso al correo electrónico a través de OWA.
Consecuencias de la solución provisional: Esta solución impide que los usuarios puedan tener acceso a sus buzones de correo a través de Outlook Web Access (OWA), Outlook Mobile Access (OMA) y Exchange Server ActiveSync.
| Preguntas más frecuentes sobre la vulnerabilidad de Microsoft Exchange Server con Outlook Web Access (CVE-2006-1193): |
¿Cuál es el alcance de esta vulnerabilidad?
Existe una vulnerabilidad de incrustación de secuencias de comandos que podría permitir a un atacante ejecutar secuencias de comandos malintencionadas. Si se utiliza esta secuencia de comandos malintencionada, se ejecutaría en el contexto de seguridad del usuario en el cliente. La secuencia de comandos podría realizar cualquier acción en el equipo del usuario que el sitio Web tuviera autoridad para efectuar. Esto podría incluir la supervisión de la sesión Web y el envío de información a terceros, la ejecución de código extraño en el sistema del usuario y la lectura o escritura de cookies.
¿Qué es Outlook Web Access?
Microsoft Outlook Web Access (OWA) es un servicio de Exchange Server. Mediante OWA, un servidor que ejecuta Exchange Server puede funcionar también como sitio Web que permite a los usuarios autorizados leer y enviar correo, administrar su calendario y llevar a cabo otras funciones de correo en Internet.
¿Cuál es la causa de esta vulnerabilidad?
Esta vulnerabilidad se debe a la forma incorrecta en que Outlook Web Access filtra secuencias de comandos en determinadas circunstancias dentro de los mensajes de correo electrónico.
¿Cómo podría aprovechar un intruso la vulnerabilidad?
Un atacante podría tratar de aprovechar esta vulnerabilidad enviando un mensaje diseñado especialmente a un usuario. Entonces el usuario tendría que abrir el mensaje usando Outlook Web Access. El mensaje podría provocar que el sistema afectado ejecutara la secuencia de comandos en el contexto de la sesión de usuario de Outlook Web Access.
¿Qué sistemas están más expuestos a esta vulnerabilidad?
Los servidores de Microsoft Exchange habilitados para utilizar Outlook Web Access son los más expuestos a esta vulnerabilidad.
¿Cómo funciona esta actualización?
Esta actualización elimina la vulnerabilidad modificando el modo en que Outlook Web Access trata el análisis HTML.
En el momento de emitir este boletín de seguridad, ¿se había divulgado ya esta vulnerabilidad?
No. Microsoft recibió información acerca de esta vulnerabilidad a través de una fuente responsable. En el momento de emitir este boletín de seguridad, Microsoft no había recibido información alguna que indicara que esta vulnerabilidad se hubiera divulgado.
En el momento de publicar este boletín de seguridad, ¿había recibido Microsoft algún informe que indicase que se estaba utilizando esta vulnerabilidad?
No. En el momento de publicar este boletín de seguridad, Microsoft no había recibido ninguna información que indicara que esta vulnerabilidad se hubiera utilizado para atacar a clientes y no tenía constancia de que se hubiera publicado código demostrativo.
| Información sobre la actualización de seguridad |
Software afectado:
Para obtener información sobre la actualización de seguridad específica para su software afectado, haga clic en el vínculo apropiado:
| Exchange Server 2003 Service Pack 2 |
Requisitos previos:
Esta actualización de seguridad requiere Exchange Server 2003 Service Pack 2.
Inclusión en futuros Service Packs:
La actualización para este problema se incluirá en un Service Pack o en un conjunto de actualizaciones posterior. En el momento de publicación de este boletín de seguridad, no hay previsto ningún Service Pack ni conjuntos de actualizaciones.
Información sobre la instalación:
Esta actualización de seguridad admite los parámetros de instalación que se indican a continuación.
|
/help | Muestra las opciones de la línea de comandos. |
/passive | Modo de instalación desatendida. No es necesaria la intervención del usuario, aunque se muestra el estado de la instalación. Si es preciso reiniciar al final de la instalación, se presentará un cuadro de diálogo que muestra una advertencia con temporizador en la que se indica que el equipo se reiniciará al cabo de 30 segundos. |
/quiet | Modo silencioso. Es igual que el modo desatendido, pero no se muestran mensajes de estado ni de error. |
/norestart | No reinicia cuando termina la instalación. |
/forcerestart | Reinicia el equipo después de la instalación y obliga a otras aplicaciones a cerrarse cuando se apaga el equipo sin guardar antes los archivos abiertos. |
/warnrestart[:x] | Presenta un cuadro de diálogo que muestra una advertencia con temporizador en la que se indica al usuario que el equipo se reiniciará al cabo de x segundos. (El valor predeterminado es 30 segundos.) Está diseñado para ser utilizado con el parámetro /quiet o el parámetro /passive. |
/promptrestart | Muestra un cuadro de diálogo que pide al usuario local que permita un reinicio. |
/overwriteoem | Sobrescribe los archivos OEM sin preguntar al usuario. |
/nobackup | No hace copia de seguridad de los archivos necesarios para la desinstalación. |
/forceappsclose | Obliga a otros programas a cerrarse cuando se apaga el equipo. |
/log:ruta de acceso | Permite la redirección de los archivos de registro de instalación. |
/integrate:ruta de acceso | Integra la actualización en los archivos fuente de Windows. Estos archivos se encuentran en la ruta de acceso que se especifica en el parámetro. |
/extract[:ruta de acceso] | Extrae los archivos sin iniciar el programa de instalación. |
/ER | Habilita la generación de informes de error extendidos. |
/verbose | Habilita el registro detallado. Crea el archivo %Windir%\CabBuild.log durante la instalación. El registro incluye el detalle de los archivos que se copian. El uso de este parámetro puede provocar que la instalación resulte más lenta. |
Nota Estos parámetros pueden combinarse en un mismo comando. Para mantener la compatibilidad con productos anteriores, esta actualización de seguridad también admite los parámetros de instalación que utiliza la versión anterior del programa de instalación. Para obtener más información acerca de los parámetros de instalación admitidos, lea el artículo 262841 de Microsoft Knowledge Base. Para obtener más información acerca del programa de instalación Update.exe, visite el sitio Web de Microsoft TechNet.
Información sobre la implementación
Para instalar la actualización de seguridad sin intervención del usuario, escriba la línea de comandos siguiente en el símbolo del sistema:
Exchange2003-KB912442-x86-enu /quiet
Requisito de reinicio:
Esta actualización no requiere reinicio. El programa instalador detiene los servicios necesarios, aplica la actualización y los reinicia. Sin embargo, si los servicios necesarios no pueden detenerse por algún motivo, o si algún archivo necesario está en uso, será preciso reiniciar el sistema. Si se presenta este comportamiento, aparecerá un mensaje que aconseja reiniciar el sistema. Para reducir las posibilidades de que sea preciso un reinicio, detenga todos los servicios afectados y cierre todas las aplicaciones que puedan utilizar los archivos afectados antes de instalar la actualización de seguridad. Para obtener más información acerca de los motivos por los que se le puede pedir que reinicie el sistema, consulte el artículo 887012 de Microsoft Knowledge Base.
Información sobre la eliminación:
Para eliminar esta actualización, utilice la herramienta Agregar o quitar programas del Panel de control.
Los administradores de sistemas pueden utilizar la utilidad Spuninst.exe para desinstalar esta actualización de seguridad. La utilidad Spuninst.exe se encuentra en la carpeta %Windir%\$ExchUninstall912442$\Spuninst.
|
/help | Muestra las opciones de la línea de comandos |
/passive | Modo de instalación desatendida. No es necesaria la intervención del usuario, aunque se muestra el estado de la instalación. Si es preciso reiniciar al final de la instalación, se presentará un cuadro de diálogo que muestra una advertencia con temporizador en la que se indica que el equipo se reiniciará al cabo de 30 segundos. |
/quiet | Modo silencioso. Es igual que el modo desatendido, pero no se muestran mensajes de estado ni de error. |
/norestart | No reinicia cuando termina la instalación. |
/forcerestart | Reinicia el equipo después de la instalación y obliga a otras aplicaciones a cerrarse cuando se apaga el equipo sin guardar antes los archivos abiertos. |
/warnrestart[:x] | Presenta un cuadro de diálogo que muestra una advertencia con temporizador en la que se indica al usuario que el equipo se reiniciará al cabo de x segundos. (El valor predeterminado es 30 segundos.) Está diseñado para ser utilizado con el parámetro /quiet o el parámetro /passive. |
/promptrestart | Muestra un cuadro de diálogo que pide al usuario local que permita un reinicio. |
/forceappsclose | Obliga a otros programas a cerrarse cuando se apaga el equipo. |
/log:ruta de acceso | Permite la redirección de los archivos de registro de instalación. |
Información sobre archivos:
La versión inglesa de esta revisión tiene los atributos de archivo indicados en la tabla siguiente (o posterior). Las fechas y horas de estos archivos se muestran en el horario universal coordinado (UTC). Cuando se consulta la información de archivo, ésta se convierte al horario local. Para averiguar la diferencia entre el horario universal coordinado y el local, utilice la ficha Zona horaria en la herramienta Fecha y hora del Panel de control.
Exchange Server 2003 Service Pack 2:
Mdbmsg.dll | 6.5.7650.28 | 31-Jan-2006 | 21:10 | 3,351,040 |
Store.exe | 6.5.7650.28 | 31-Jan-2006 | 22:18 | 5,249,536 |
Comprobación de que se ha aplicado la actualización
| • | Microsoft Baseline Security Analyzer Para comprobar que una actualización de seguridad se ha aplicado en un sistema afectado, puede tratar de utilizar la herramienta Baseline Security Analyzer (MBSA) de Microsoft. Esta herramienta permite a los administradores examinar sistemas remotos y locales para detectar las actualizaciones de seguridad que faltan así como las configuraciones de seguridad incorrectas más comunes. Para obtener más información acerca de MBSA, visite el sitio Web de Microsoft Baseline Security Analyzer. |
| • | Comprobación de la versión del archivo Nota Puesto que existen varias versiones de Microsoft Windows, los pasos que se indican a continuación pueden ser diferentes para la ejecución del procedimiento en su equipo. En tal caso, consulte la documentación del producto para ejecutar los pasos necesarios. 1. | Haga clic en Inicio y, después, en Buscar. | 2. | En el panel Resultados de la búsqueda, haga clic en Todos los archivos y carpetas del Asistente para búsqueda. | 3. | En el cuadro Todo o parte del nombre de archivo, escriba un nombre de archivo de la tabla de información de archivos correspondiente y, a continuación, haga clic en Buscar. | 4. | En la lista de archivos, haga clic con el botón secundario del mouse en un nombre de archivo de la tabla de información de archivos correspondiente y, después, haga clic en Propiedades.
Nota Según la versión del sistema operativo o de los programas instalados, cabe la posibilidad de que algunos de los archivos enumerados en la tabla de información de archivos no estén instalados. | 5. | En la ficha Versión, determine la versión del archivo instalado en el equipo por comparación con la versión documentada en la tabla de información de archivos correspondiente.
Nota Los atributos distintos a la versión del archivo pueden cambiar durante la instalación. La comparación de otros atributos de los archivos con los datos de la tabla de información de archivos no constituye un método apropiado para comprobar que se haya aplicado la actualización. Además, en ciertos casos, el nombre de los archivos se puede cambiar durante la instalación. Si no aparece información de la versión o del archivo, recurra a otro de los métodos disponibles para comprobar la instalación de la actualización. |
|
| • | Comprobación de las claves del Registro También podría comprobar los archivos que ha instalado esta actualización de seguridad revisando la siguiente clave del Registro: HKEY_LOCAl_MACHINE\SOFTWARE\Microsoft\Updates\Exchange Server 2003\SP3\KB912442 |
Nota Esta clave del Registro puede no contener una lista completa de archivos instalados. Además, esta clave del Registro puede no crearse correctamente cuando un administrador o un OEM integran o incorporan la actualización de seguridad KB912442 en los archivos fuente de instalación de Windows.
| Exchange Server 2003 Service Pack 1 |
Requisitos previos:
Esta revisión de seguridad requiere Exchange Server 2003 Service Pack 1.
Inclusión en futuros Service Packs:
La actualización para este problema se incluirá en un Service Pack o en un conjunto de actualizaciones posterior. En el momento de publicación de este boletín de seguridad, no hay previsto ningún Service Pack ni conjuntos de actualizaciones.
Información sobre la instalación:
Esta actualización de seguridad admite los parámetros de instalación que se indican a continuación.
|
/help | Muestra las opciones de la línea de comandos. |
/passive | Modo de instalación desatendida. No es necesaria la intervención del usuario, aunque se muestra el estado de la instalación. Si es preciso reiniciar al final de la instalación, se presentará un cuadro de diálogo que muestra una advertencia con temporizador en la que se indica que el equipo se reiniciará al cabo de 30 segundos. |
/quiet | Modo silencioso. Es igual que el modo desatendido, pero no se muestran mensajes de estado ni de error. |
/norestart | No reinicia cuando termina la instalación. |
/forcerestart | Reinicia el equipo después de la instalación y obliga a otras aplicaciones a cerrarse cuando se apaga el equipo sin guardar antes los archivos abiertos. |
/warnrestart[:x] | Presenta un cuadro de diálogo que muestra una advertencia con temporizador en la que se indica al usuario que el equipo se reiniciará al cabo de x segundos. (El valor predeterminado es 30 segundos.) Está diseñado para ser utilizado con el parámetro /quiet o el parámetro /passive. |
/promptrestart | Muestra un cuadro de diálogo que pide al usuario local que permita un reinicio. |
/overwriteoem | Sobrescribe los archivos OEM sin preguntar al usuario. |
/nobackup | No hace copia de seguridad de los archivos necesarios para la desinstalación. |
/forceappsclose | Obliga a otros programas a cerrarse cuando se apaga el equipo. |
/log:ruta de acceso | Permite la redirección de los archivos de registro de instalación. |
/integrate:ruta de acceso | Integra la actualización en los archivos fuente de Windows. Estos archivos se encuentran en la ruta de acceso que se especifica en el parámetro. |
/extract[:ruta de acceso] | Extrae los archivos sin iniciar el programa de instalación. |
/ER | Habilita la generación de informes de error extendidos. |
/verbose | Habilita el registro detallado. Crea el archivo %Windir%\CabBuild.log durante la instalación. El registro incluye el detalle de los archivos que se copian. El uso de este parámetro puede provocar que la instalación resulte más lenta. |
Nota Estos parámetros pueden combinarse en un mismo comando. Para mantener la compatibilidad con productos anteriores, esta actualización de seguridad también admite los parámetros de instalación que utiliza la versión anterior del programa de instalación. Para obtener más información acerca de los parámetros de instalación admitidos, lea el artículo 262841 de Microsoft Knowledge Base. Para obtener más información acerca del programa de instalación Update.exe, visite el sitio Web de Microsoft TechNet.
Información sobre la implementación
Para instalar la actualización de seguridad sin intervención del usuario, escriba la línea de comandos siguiente en el símbolo del sistema:
Exchange2003-KB912442-x86-enu /quiet
Requisito de reinicio:
Esta actualización no requiere reinicio. El programa instalador detiene los servicios necesarios, aplica la actualización y los reinicia. Sin embargo, si los servicios necesarios no pueden detenerse por algún motivo, o si algún archivo necesario está en uso, será preciso reiniciar el sistema. Si se presenta este comportamiento, aparecerá un mensaje que aconseja reiniciar el sistema. Para reducir las posibilidades de que sea preciso un reinicio, detenga todos los servicios afectados y cierre todas las aplicaciones que puedan utilizar los archivos afectados antes de instalar la actualización de seguridad. Para obtener más información acerca de los motivos por los que se le puede pedir que reinicie el sistema, consulte el artículo 887012 de Microsoft Knowledge Base.
Información sobre la eliminación:
Para eliminar esta actualización, utilice la herramienta Agregar o quitar programas del Panel de control.
Los administradores de sistemas pueden utilizar la utilidad Spuninst.exe para desinstalar esta actualización de seguridad. La utilidad Spuninst.exe se encuentra en la carpeta %Windir%\$ExchUninstall912442$\Spuninst.
|
/help | Muestra las opciones de la línea de comandos |
/passive | Modo de instalación desatendida. No es necesaria la intervención del usuario, aunque se muestra el estado de la instalación. Si es preciso reiniciar al final de la instalación, se presentará un cuadro de diálogo que muestra una advertencia con temporizador en la que se indica que el equipo se reiniciará al cabo de 30 segundos. |
/quiet | Modo silencioso. Es igual que el modo desatendido, pero no se muestran mensajes de estado ni de error. |
/norestart | No reinicia cuando termina la instalación. |
/forcerestart | Reinicia el equipo después de la instalación y obliga a otras aplicaciones a cerrarse cuando se apaga el equipo sin guardar antes los archivos abiertos. |
/warnrestart[:x] | Presenta un cuadro de diálogo que muestra una advertencia con temporizador en la que se indica al usuario que el equipo se reiniciará al cabo de x segundos. (El valor predeterminado es 30 segundos.) Está diseñado para ser utilizado con el parámetro /quiet o el parámetro /passive. |
/promptrestart | Muestra un cuadro de diálogo que pide al usuario local que permita un reinicio. |
/forceappsclose | Obliga a otros programas a cerrarse cuando se apaga el equipo. |
/log:ruta de acceso | Permite la redirección de los archivos de registro de instalación. |
Información sobre archivos:
La versión inglesa de esta revisión tiene los atributos de archivo indicados en la tabla siguiente (o posterior). Las fechas y horas de estos archivos se muestran en el horario universal coordinado (UTC). Cuando se consulta la información de archivo, ésta se convierte al horario local. Para averiguar la diferencia entre el horario universal coordinado y el local, utilice la ficha Zona horaria en la herramienta Fecha y hora del Panel de control.
Exchange Server 2003 Service Pack 1:
Mdbmsg.dll | 6.5.7233.69 | 28-Jan-2006 | 01:19 | 3,269,632 |
Redir.asp | | 04-Jun-2005 | 01:56 | 3,304 |
Store.exe | 6.5.7233.69 | 28-Jan-2006 | 01:03 | 4,834,816 |
Comprobación de que se ha aplicado la actualización
| • | Microsoft Baseline Security Analyzer Para comprobar que una actualización de seguridad se ha aplicado en un sistema afectado, puede tratar de utilizar la herramienta Baseline Security Analyzer (MBSA) de Microsoft. Esta herramienta permite a los administradores examinar sistemas remotos y locales para detectar las actualizaciones de seguridad que faltan así como las configuraciones de seguridad incorrectas más comunes. Para obtener más información acerca de MBSA, visite el sitio Web de Microsoft Baseline Security Analyzer. |
| • | Comprobación de la versión del archivo Nota Puesto que existen varias versiones de Microsoft Windows, los pasos que se indican a continuación pueden ser diferentes para la ejecución del procedimiento en su equipo. En tal caso, consulte la documentación del producto para ejecutar los pasos necesarios. 1. | Haga clic en Inicio y, después, en Buscar. | 2. | En el panel Resultados de la búsqueda, haga clic en Todos los archivos y carpetas del Asistente para búsqueda. | 3. | En el cuadro Todo o parte del nombre de archivo, escriba un nombre de archivo de la tabla de información de archivos correspondiente y, a continuación, haga clic en Buscar. | 4. | En la lista de archivos, haga clic con el botón secundario del mouse en un nombre de archivo de la tabla de información de archivos correspondiente y, después, haga clic en Propiedades.
Nota Según la versión del sistema operativo o de los programas instalados, cabe la posibilidad de que algunos de los archivos enumerados en la tabla de información de archivos no estén instalados. | 5. | En la ficha Versión, determine la versión del archivo instalado en el equipo por comparación con la versión documentada en la tabla de información de archivos correspondiente.
Nota Los atributos distintos a la versión del archivo pueden cambiar durante la instalación. La comparación de otros atributos de los archivos con los datos de la tabla de información de archivos no constituye un método apropiado para comprobar que se haya aplicado la actualización. Además, en ciertos casos, el nombre de los archivos se puede cambiar durante la instalación. Si no aparece información de la versión o del archivo, recurra a otro de los métodos disponibles para comprobar la instalación de la actualización. |
|
| • | Comprobación de las claves del Registro También podría comprobar los archivos que ha instalado esta actualización de seguridad revisando la siguiente clave del Registro: HKEY_LOCAl_MACHINE\SOFTWARE\Microsoft\Updates\Exchange Server 2003\SP2\KB912442 |
Nota Esta clave del Registro puede no contener una lista completa de archivos instalados. Además, esta clave del Registro puede no crearse correctamente cuando un administrador o un OEM integran o incorporan la actualización de seguridad KB912442 en los archivos fuente de instalación de Windows.
| Exchange 2000 Server Service Pack 3 con el conjunto de actualizaciones 870540 |
Requisitos previos:
Esta actualización de seguridad requiere Exchange 2000 Server Service Pack 3 con el conjunto de actualizaciones de Exchange 2000 Server Post-Service Pack 3 (SP3). Para obtener más información, consulte el artículo 870540 de Microsoft Knowledge Base. Para descargar la actualización de requisito previo, visite este sitio Web.
Inclusión en futuros Service Packs:
La actualización para este problema puede incluirse en un conjunto de actualizaciones posterior. En el momento de publicación de este boletín de seguridad, no hay previsto ningún conjunto de actualizaciones.
Información sobre la instalación:
Esta actualización de seguridad admite los parámetros de instalación que se indican a continuación.
|
/help | Muestra las opciones de la línea de comandos. |
/passive | Modo de instalación desatendida. No es necesaria la intervención del usuario, aunque se muestra el estado de la instalación. Si es preciso reiniciar al final de la instalación, se presentará un cuadro de diálogo que muestra una advertencia con temporizador en la que se indica que el equipo se reiniciará al cabo de 30 segundos. |
/quiet | Modo silencioso. Es igual que el modo desatendido, pero no se muestran mensajes de estado ni de error. |
/norestart | No reinicia cuando termina la instalación. |
/forcerestart | Reinicia el equipo después de la instalación y obliga a otras aplicaciones a cerrarse cuando se apaga el equipo sin guardar antes los archivos abiertos. |
/warnrestart[:x] | Presenta un cuadro de diálogo que muestra una advertencia con temporizador en la que se indica al usuario que el equipo se reiniciará al cabo de x segundos. (El valor predeterminado es 30 segundos.) Está diseñado para ser utilizado con el parámetro /quiet o el parámetro /passive. |
/promptrestart | Muestra un cuadro de diálogo que pide al usuario local que permita un reinicio. |
/overwriteoem | Sobrescribe los archivos OEM sin preguntar al usuario. |
/nobackup | No hace copia de seguridad de los archivos necesarios para la desinstalación. |
/forceappsclose | Obliga a otros programas a cerrarse cuando se apaga el equipo. |
/log:ruta de acceso | Permite la redirección de los archivos de registro de instalación. |
/integrate:ruta de acceso | Integra la actualización en los archivos fuente de Windows. Estos archivos se encuentran en la ruta de acceso que se especifica en el parámetro. |
/extract[:ruta de acceso] | Extrae los archivos sin iniciar el programa de instalación. |
/ER | Habilita la generación de informes de error extendidos. |
/verbose | Habilita el registro detallado. Crea el archivo %Windir%\CabBuild.log durante la instalación. El registro incluye el detalle de los archivos que se copian. El uso de este parámetro puede provocar que la instalación resulte más lenta. |
Nota Estos parámetros pueden combinarse en un mismo comando. Para mantener la compatibilidad con productos anteriores, esta actualización de seguridad también admite los parámetros de instalación que utiliza la versión anterior del programa de instalación. Para obtener más información acerca de los parámetros de instalación admitidos, lea el artículo 262841 de Microsoft Knowledge Base. Para obtener más información acerca del programa de instalación Update.exe, visite el sitio Web de Microsoft TechNet.
Información sobre la implementación
Para instalar la actualización de seguridad sin intervención del usuario, escriba la línea de comandos siguiente en el símbolo del sistema:
Exchange2000-KB912442-x86-enu /quiet
Requisito de reinicio:
Esta actualización no requiere reinicio. El programa instalador detiene los servicios necesarios, aplica la actualización y los reinicia. Sin embargo, si los servicios necesarios no pueden detenerse por algún motivo, o si algún archivo necesario está en uso, será preciso reiniciar el sistema. Si se presenta este comportamiento, aparecerá un mensaje que aconseja reiniciar el sistema. Para reducir las posibilidades de que sea preciso un reinicio, detenga todos los servicios afectados y cierre todas las aplicaciones que puedan utilizar los archivos afectados antes de instalar la actualización de seguridad. Para obtener más información acerca de los motivos por los que se le puede pedir que reinicie el sistema, consulte el artículo 887012 de Microsoft Knowledge Base.
Información sobre la eliminación:
Para eliminar esta actualización, utilice la herramienta Agregar o quitar programas del Panel de control.
Los administradores de sistemas pueden utilizar la utilidad Spuninst.exe para desinstalar esta actualización de seguridad. La utilidad Spuninst.exe se encuentra en la carpeta %Windir%\$ExchUninstall912442$\Spuninst.
|
/help | Muestra las opciones de la línea de comandos. |
/passive | Modo de instalación desatendida. No es necesaria la intervención del usuario, aunque se muestra el estado de la instalación. Si es preciso reiniciar al final de la instalación, se presentará un cuadro de diálogo que muestra una advertencia con temporizador en la que se indica que el equipo se reiniciará al cabo de 30 segundos. |
/quiet | Modo silencioso. Es igual que el modo desatendido, pero no se muestran mensajes de estado ni de error. |
/norestart | No reinicia cuando termina la instalación. |
/forcerestart | Reinicia el equipo después de la instalación y obliga a otras aplicaciones a cerrarse cuando se apaga el equipo sin guardar antes los archivos abiertos. |
/warnrestart[:x] | Presenta un cuadro de diálogo que muestra una advertencia con temporizador en la que se indica al usuario que el equipo se reiniciará al cabo de x segundos. (El valor predeterminado es 30 segundos.) Está diseñado para ser utilizado con el parámetro /quiet o el parámetro /passive. |
/promptrestart | Muestra un cuadro de diálogo que pide al usuario local que permita un reinicio. |
/forceappsclose | Obliga a otros programas a cerrarse cuando se apaga el equipo. |
/log:ruta de acceso | Permite la redirección de los archivos de registro de instalación. |
Información sobre archivos:
La versión inglesa de esta revisión tiene los atributos de archivo indicados en la tabla siguiente (o posterior). Las fechas y horas de estos archivos se muestran en el horario universal coordinado (UTC). Cuando se consulta la información de archivo, ésta se convierte al horario local. Para averiguar la diferencia entre el horario universal coordinado y el local, utilice la ficha Zona horaria en la herramienta Fecha y hora del Panel de control.
Exchange 2000 Server Service Pack 3:
Mdbmsg.dll | 6.0.6618.4 | 31-Jan-2006 | 05:21 | 2,342,912 |
Store.exe | 6.0.6618.4 | 31-Jan-2006 | 19:04 | 4,714,496 |
Comprobación de que se ha aplicado la actualización
| • | Microsoft Baseline Security Analyzer Para comprobar que una actualización de seguridad se ha aplicado en un sistema afectado, puede tratar de utilizar la herramienta Baseline Security Analyzer (MBSA) de Microsoft. Esta herramienta permite a los administradores examinar sistemas remotos y locales para detectar las actualizaciones de seguridad que faltan así como las configuraciones de seguridad incorrectas más comunes. Para obtener más información acerca de MBSA, visite el sitio Web de Microsoft Baseline Security Analyzer. |
| • | Comprobación de la versión del archivo Nota Puesto que existen varias versiones de Microsoft Windows, los pasos que se indican a continuación pueden ser diferentes para la ejecución del procedimiento en su equipo. En tal caso, consulte la documentación del producto para ejecutar los pasos necesarios. 1. | Haga clic en Inicio y, después, en Buscar. | 2. | En el panel Resultados de la búsqueda, haga clic en Todos los archivos y carpetas del Asistente para búsqueda. | 3. | En el cuadro Todo o parte del nombre de archivo, escriba un nombre de archivo de la tabla de información de archivos correspondiente y, a continuación, haga clic en Buscar. | 4. | En la lista de archivos, haga clic con el botón secundario del mouse en un nombre de archivo de la tabla de información de archivos correspondiente y, después, haga clic en Propiedades.
Nota Según la versión del sistema operativo o de los programas instalados, cabe la posibilidad de que algunos de los archivos enumerados en la tabla de información de archivos no estén instalados. | 5. | En la ficha Versión, determine la versión del archivo instalado en el equipo por comparación con la versión documentada en la tabla de información de archivos correspondiente.
Nota Los atributos distintos a la versión del archivo pueden cambiar durante la instalación. La comparación de otros atributos de los archivos con los datos de la tabla de información de archivos no constituye un método apropiado para comprobar que se haya aplicado la actualización. Además, en ciertos casos, el nombre de los archivos se puede cambiar durante la instalación. Si no aparece información de la versión o del archivo, recurra a otro de los métodos disponibles para comprobar la instalación de la actualización. |
|
| • | Comprobación de las claves del Registro También podría comprobar los archivos que ha instalado esta actualización de seguridad revisando la siguiente clave del Registro: HKEY_LOCAl_MACHINE\SOFTWARE\Microsoft\Updates\Exchange Server 2000\SP4\KB912442 |
Nota Esta clave del Registro puede no contener una lista completa de archivos instalados. Además, esta clave del Registro puede no crearse correctamente cuando un administrador o un OEM integran o incorporan la actualización de seguridad KB912442 en los archivos fuente de instalación de Windows.
Agradecimientos
Microsoft muestra su agradecimiento a todas las personas que han trabajado con nosotros para proteger a los clientes:
| • | Daniel Fabian, de SEC Consult, por informar de la vulnerabilidad de Microsoft Exchange Server con Outlook Web Access (CVE-2006-1193). |
Obtención de otras actualizaciones de seguridad:
Las actualizaciones para otros problemas de seguridad están disponibles en las ubicaciones siguientes:
| • | Hay actualizaciones de seguridad disponibles en el Centro de descarga de Microsoft. Si realiza una búsqueda de las palabras clave “revisión de seguridad” podrá encontrarlas fácilmente. |
| • | Hay disponibles actualizaciones para las plataformas de usuarios en el sitio Web Windows Update de Microsoft. |
Soporte técnico:
| • | Puede solicitar soporte técnico en los Servicios de soporte técnico de Microsoft o a través del teléfono 902 197 198. |
| • | Los clientes internacionales pueden recibir soporte técnico en las subsidiarias de Microsoft de sus países. Las llamadas de soporte técnico relacionadas con las actualizaciones de seguridad son gratuitas. Para obtener más información acerca de cómo ponerse en contacto con Microsoft en relación con problemas de soporte técnico, visite el sitio Web de soporte técnico internacional de Microsoft. |
Recursos de seguridad:
Software Update Services:
Software Update Services (SUS) permite a los administradores implementar con rapidez y confiabilidad las actualizaciones críticas y de seguridad más recientes en servidores basados en Windows 2000 y Windows Server 2003, y en sistemas de escritorio donde se ejecute Windows 2000 Professional o Windows XP Professional.
Para obtener más información acerca de cómo implementar actualizaciones de seguridad con Software Update Services, visite el sitio Web de Software Update Services.
Windows Server Update Services
Windows Server Update Services (WSUS) permite a los administradores implementar con rapidez y fiabilidad las actualizaciones críticas y de seguridad más recientes en sistemas operativos Windows 2000 y versiones posteriores, Office XP y versiones posteriores, Exchange Server 2003 y SQL Server 2000 hasta Windows 2000 y sistemas operativos posteriores.
Para obtener más información acerca de cómo implementar actualizaciones de seguridad con Windows Server Update Services, visite el sitio Web de Windows Server Update Services.
Systems Management Server:
Microsoft Systems Management Server (SMS) ofrece una solución empresarial altamente configurable para la administración de las actualizaciones. Mediante SMS, los administradores pueden identificar los sistemas basados en Windows que necesitan actualizaciones de seguridad, así como realizar la implementación controlada de las actualizaciones en la empresa con una repercusión mínima para los usuarios finales. Para obtener más información acerca de cómo pueden utilizar SMS 2003 los administradores para implementar actualizaciones de seguridad, visite el sitio Web de administración de revisiones de seguridad de SMS 2003. Los usuarios de SMS 2.0 también pueden usar Software Updates Service Feature Pack como ayuda para la implementación de actualizaciones de seguridad. Para obtener más información acerca de SMS, visite el sitio Web de SMS.
Nota SMS utiliza las herramientas Microsoft Baseline Security Analyzer, Microsoft Office Detection Tool y Enterprise Update Scanning Tool para proporcionar un amplio soporte técnico en la detección e implementación de las actualizaciones indicadas en los boletines de seguridad. Puede que estas herramientas no detecten algunas actualizaciones de software. Los administradores pueden usar las capacidades de inventario de SMS en estos casos para concretar qué actualizaciones aplicar en cada sistema. Para obtener más información acerca de este procedimiento, visite el siguiente sitio Web, en inglés. Algunas actualizaciones de seguridad pueden requerir derechos administrativos y que se reinicie el sistema. Los administradores pueden usar la utilidad Elevated Rights Deployment Tool (disponible en SMS 2003 Administration Feature Pack y en SMS 2.0 Administration Feature Pack) para instalar estas actualizaciones.
Renuncia:
La información proporcionada en Microsoft Knowledge Base se suministra "tal cual", sin garantía de ningún tipo. Microsoft renuncia al otorgamiento de toda garantía, tanto expresa como implícita, incluidas las garantías de comerciabilidad e idoneidad para un determinado fin. Ni Microsoft Corporation ni sus proveedores se responsabilizarán en ningún caso de daños directos, indirectos, incidentales, consecuenciales, pérdida de beneficios o daños especiales, aun en el supuesto de que se hubiera informado a Microsoft Corporation o a sus proveedores de la posibilidad de dichos daños. Algunos estados de Estados Unidos no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, y, por tanto, la limitación anterior puede no ser aplicable en su caso.
Revisiones:
| • | V1.0 (13 de junio de 2006): Publicación del boletín. |
