El Documento Informativo de seguridad 2501696 de Microsoft ha sido liberado

Hola, les escribe Roberto Arbeláez.

Microsoft investiga nuevos informes públicos de una vulnerabilidad en todas las ediciones soportadas de Microsoft Windows. La vulnerabilidad podría permitir que el atacante hiciera que la víctima ejecutara secuencias de comandos maliciosas al visitar varios sitios Web, lo que resulta en la divulgación de información. Este impacto es similar en las vulnerabilidades de las secuencias de comandos que implican a varios sitios (XSS) del lado del servidor. Microsoft está al tanto de la información publicada y el código de prueba de concepto que intenta explotar esta vulnerabilidad. En este momento, Microsoft no ha visto indicación alguna de la explotación activa de la vulnerabilidad.

La vulnerabilidad existe debido a la manera en que MHTML interpreta las solicitudes con formato MIME para bloques de contenido dentro de un documento. Es posible bajo ciertas circunstancias que esta vulnerabilidad permita que el atacante inyecte una secuencia de comando del lado del cliente en la respuesta de una solicitud Web que se ejecutan en el contexto de Internet Explorer de la víctima. La secuencia podría suplantar contenido, revelar información o emprender cualquier acción que el usuario podría realizar en el sitio Web afectado en nombre del usuario destino.

Trabajamos activamente con los socios de nuestro Programa Microsoft Active Protections Program (MAPP) para brindar información que pueden utilizar para ofrecer protecciones más extensas a los clientes.

Estamos colaborando con los Proveedores de servicios para investigar soluciones temporales del lado del servidor, pero recomendamos que los clientes apliquen una solución temporal del lado del servidor o más de las que se proporcionan en la sección Acciones sugeridas en el documento informativo para ayudar a bloquear los vectores de ataque potenciales sin importar el servicio.

Una vez que concluya esta investigación, Microsoft emprenderá la acción apropiada para ayudar a proteger a nuestros clientes. Esto puede incluir ofrecer una actualización de seguridad a través de nuestro proceso de liberación mensual o brindar una actualización de seguridad fuera del ciclo, dependiendo de las necesidades del cliente.

Factores de mitigación

· Por predeterminación, Internet Explorer en Windows Server 2003, Windows Server 2008 y Windows Server 2008 R2 se ejecuta en un modo restringido que se conoce como Configuración de seguridad mejorada. Este modo mitiga esta vulnerabilidad.

· Por predeterminación, todas las versiones con soporte de Microsoft Outlook, Microsoft Outlook Express y Windows Mail abren mensajes de correo electrónico HTML en la zona de sitios Restringidos, que deshabilita los controles de secuencias de comandos y ActiveX, lo cual elimina el riesgo de que un atacante pueda utilizar esta vulnerabilidad para ejecutar código malicioso. Si un usuario hace clic en el vínculo de un mensaje de correo electrónico, el usuario podría seguir siendo vulnerable a la explotación de esta vulnerabilidad a través del escenario de ataque basado en el Web.

· En un escenario de ataque basado en la Web, un sitio Web podría contener un vínculo especialmente diseñado (MHTML:) que se utiliza para explotar esta vulnerabilidad. El atacante tendría que convencer a los usuarios de que visitaran el sitio Web y abrieran una dirección URL especialmente diseñada, por lo general al lograr que hicieran clic en un vínculo del mensaje de correo electrónico o mensaje de Instant Messenger que lleva a los usuarios al sitio Web del atacante, y posteriormente convencerlos de hacer clic en el vínculo especialmente diseñado.

Software afectado

Este documento informativo de seguridad trata sobre el software a continuación.

**La instalación Server Core no se ve afectada. La vulnerabilidad que se describe en este documento informativo no afecta las ediciones con soporte de Windows Server 2008 ni Windows Server 2008 R2 como se indica, cuando se instala utilizando la opción de instalación Server Core. Para obtener más información sobre esta opción de instalación, consulte los artículos de TechNet, Cómo administrar la instalación Server Core y Cómo atender una instalación Server Core. Observe que la opción de instalación Server Core no aplica para ciertas ediciones de Windows Server 2008 y Windows Server 2008 R2; consulte Compare opciones de instalación Server Core.

Recomendaciones

Revise el Documento Informativo de seguridad 2501696 de Microsoft para conocer una descripción general del problema, detalles sobre los componentes afectados, factores de mitigación, acciones sugeridas, preguntas más frecuentes y vínculos a recursos adicionales.

Los clientes que consideren que están afectados se pueden poner en contacto sin cargo alguno con Servicio y soporte al cliente (CSS) en Norteamérica para recibir ayuda con los problemas de actualización de seguridad o virus utilizando la línea de Seguridad del PC (866) PCSAFETY. Los clientes internacionales se pueden poner en contacto con Atención al cliente y el Departamento de soporte utilizando cualquier método que se encuentra en https://www.microsoft.com/protect/worldwide/default.mspx.

Nuestros usuarios de hogar pueden obtener soporte aqui: https://www.microsoft.com/latam/protect/support/default.mspx

Nuestros usuarios corporativos/empresariales pueden obtener soporte aqui: https://support.microsoft.com/default.aspx?ln=ES-LA

Recursos adicionales

• Documento Informativo de Seguridad 2501696 – La vulnerabilidad en MHTML podría permitir la revelación de información - https://www.microsoft.com/technet/security/advisory/2501696.mspx
• Blog del Centro de respuesta de seguridad de Microsoft (MSRC): https://blogs.technet.com/msrc/
• Blog del Centro de protección contra malware de Microsoft (MMPC): https://blogs.technet.com/mmpc/
• Blog de Investigación y defensa de vulnerabilidades de seguridad (SRD) de Microsoft: https://blogs.technet.com/srd/

Como siempre, si se ven afectados, o si sospechan que fueron afectados, no vacilen en abrir un caso de soporte gratuito en nuestros canales de soporte aqui: https://support.microsoft.com/gp/contactenos/es-la 

Saludos,

Roberto Arbeláez

Security Program Manager for Latin America

CSS Security

Microsoft Corp.

Etiquetas de Technorati: microsoft,seguridad,2501696,vulnerabilidad,mhtml

Etiquetas de Technorati: microsoft,seguridad,2501696,vulnerabilidad,mhtml