Alerta - Avisos de seguridad de Microsoft para diciembre de 2013

Resumen ejecutivo

Microsoft anuncia la disponibilidad de una actualización para Microsoft ASP.NET que trata una vulnerabilidad en el estado de vista de ASP.NET que existe cuando se deshabilita la validación del Código de autenticación de máquina (MAC) por medio de la configuración. La vulnerabilidad podría permitir la elevación de privilegios y afecta a todas las versiones compatibles de Microsoft .NET Framework, excepto .NET Framework 3.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1.

Cualquier sitio ASP.NET para el que se ha deshabilitado MAC en el estado de vista por medio de la configuración es vulnerable a un ataque. Un atacante que explote con éxito la vulnerabilidad podría utilizar contenidos HTTP especialmente diseñados para inyectar código que se ejecutará en el contexto de la cuenta de servicio del servidor ASP.NET. Microsoft está consciente de la información a disposición del público que se podrían utilizar para explotar esta vulnerabilidad, pero no tiene conocimiento de que existan ataques activos.

Factores atenuantes

MAC en estado de vista está habilitado de forma predeterminada para sitios ASP.NET.

Para obtener más información:

https://technet.microsoft.com/security/advisory/2905247

Resumen ejecutivo

Microsoft anuncia la disponibilidad de una actualización para Windows 8 y Windows Server 2012 que revoca las firmas digitales en nueve módulos privados de terceros de UEFI (Interfaz unificada de firmware ampliable) que pueden ser cargados durante un Inicio seguro de UEFI. Cuando se aplica la actualización, ya no se podrá confiar en los módulos UEFI afectados y el cargado de los sistemas ya no estará activado en los Inicios seguros de UEFI. Los módulos de UEFI afectados constan de módulos específicos firmados por Microsoft que ya no cumplen con nuestro programa de certificación o sus autores han solicitado la revocación de los paquetes. En el momento de la publicación, no se sabe que estos módulos de UEFI están disponibles para el público.

Microsoft no tiene conocimiento de la existencia de un uso indebido de los módulos de UEFI afectados. Microsoft busca de forma proactiva la revocación de estos módulos en incumplimiento como parte de los esfuerzos para proteger a los clientes. Esta acción sólo afecta a los sistemas que ejecutan Windows 8 y Windows Server 2012 que permiten un Inicio seguro de UEFI en los que el sistema está configurado para arrancar por UEFI y está activado un arranque seguro. No hay acción en sistemas que no son compatibles con Inicio seguro de UEFI o en caso de que esté desactivado.

Recomendación

No se tiene conocimiento de que los módulos de UEFI afectados estén disponibles para el público. No obstante, los clientes preocupados por el hecho de que pudieran estar utilizando un módulo de UEFI afectado deben consultar la pregunta frecuente del aviso "¿Para qué sirve esta actualización?" para obtener una lista de los módulos de UEFI afectados.

Resumen ejecutivo

Microsoft anuncia la disponibilidad de una actualización para todas las versiones compatibles de Windows para cambiar cómo se verifican las firmas en archivos binarios con el formato de firma de Authenticode en Windows. El cambio está incluido en el Boletín de seguridad MS13-098, pero no estará habilitado hasta el 10 de junio de 2014. Una vez activado, el nuevo comportamiento predeterminado para la verificación de la firma Authenticode en Windows ya no permitirá información extraña en la estructura WIN_CERTIFICATE. Tenga en cuenta que después del 10 de junio de 2014, Windows ya no reconocerá los archivos binarios que no cumplan al firmarse.

Para obtener más información:

https://technet.microsoft.com/security/advisory/2915720

Resumen ejecutivo

Microsoft anuncia la disponibilidad de una actualización de Adobe Flash Player en Internet Explorer en todas las ediciones con soporte de Windows 8, Windows Server 2012, Windows RT, Windows 8.1, Windows Server 2012 R2 y Windows RT 8.1. La actualización soluciona las vulnerabilidades en Adobe Flash Player mediante la actualización de las bibliotecas Adobe Flash afectadas contenidas dentro de Internet Explorer 10 e Internet Explorer 11.

Para obtener más información:

https://technet.microsoft.com/security/advisory/2755801