Boletín de seguridad de Microsoft para Enero de 2017

Article
01/11/2017

¿Cuál es el propósito de esta alerta?

Esta alerta le proporciona información general sobre los nuevos boletines de seguridad que se publicarán el martes, 10 de enero de 2017. Cada mes se lanzan nuevos boletines de seguridad para solucionar vulnerabilidades de seguridad en los productos de Microsoft.

Nuevos boletines de seguridad

Microsoft lanzará los siguientes cuatro boletines de seguridad para vulnerabilidades descubiertas recientemente:

Id. de boletín	Título del boletín	Clasificación de gravedad máxima	Impacto de vulnerabilidad	Requisito de reinicio	Software afectado
MS17-001	Actualización de seguridad para Microsoft Edge (3214288)	Importante	Elevación de privilegios	Requiere reiniciar	Microsoft Edge en todas las versiones compatibles de Windows 10 y Windows Server 2016.
MS17-002	Actualización de seguridad para Microsoft Office (3214291)	Crítica	Ejecución del código remoto	Es posible que haya que reiniciar	Microsoft Office 2016 y SharePoint Enterprise Server 2016.
MS17-003	Actualización de seguridad para Adobe Flash Player (3214628)	Crítica	Ejecución del código remoto	Requiere reiniciar	Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1, Windows 10 y Windows Server 2016.
MS17-004	Actualización de seguridad para el Servicio de subsistema de autoridad de seguridad local (3216771)	Importante	Denegación de servicio	Requiere reiniciar	Windows Vista, Windows Server 2008, Windows 7 y Windows Server 2008 R2.

Puede encontrar los resúmenes de los nuevos boletines en https://technet.microsoft.com/es-es/library/security/ms17-jan.aspx.

Comience a utilizar la nueva Guía de actualizaciones de seguridad (IMPORTANTE)

La información sobre las actualizaciones de seguridad que Microsoft lanza cada mes se suele publicar en el sitio web de los boletines de seguridad de Microsoft (https://technet.microsoft.com/es-es/security/bulletins.aspx). Sin embargo, nuestros clientes nos han pedido que mejoremos el acceso a la información de las actualizaciones de seguridad, así como que simplifiquemos las maneras de personalizar su vista para diferentes tipos de necesidades.

El martes, 8 de noviembre de 2016, Microsoft anunció la nueva ubicación de la información de vulnerabilidades de seguridad: la Guía de actualizaciones de seguridad. Además de proporcionar todos los detalles sobre los boletines de seguridad habituales, la nueva Guía de actualizaciones de seguridad tendrá más información y nuevos métodos de búsqueda.

Aquí te presentamos algunas de las nuevas características que se van a introducir en la Guía de actualizaciones de seguridad:

Información sobre vulnerabilidades de CVSS, que no aparecía en los boletines de seguridad anteriores.
Una nueva API RESTful que permite a los especialistas en seguridad registrar automáticamente los detalles de las actualizaciones mediante scripting.
Compatibilidad para filtrar y ordenar por producto o por intervalo de fechas y para buscar actualizaciones por CVE o por número de KB.

Página web de la Guía de actualizaciones de seguridad (en inglés): https://portal.msrc.microsoft.com/en-us/

Si quiere obtener respuestas para las preguntas más usuales sobre la nueva Guía de actualizaciones de seguridad y la transición desde los boletines de seguridad antiguos, consulte el sitio web con las preguntas frecuentes sobre la nueva guía (en inglés): https://technet.microsoft.com/es-es/security/mt791750

Puede enviarnos sus comentarios sobre la nueva Guía de actualizaciones de seguridad a esta dirección de correo electrónico: portalfback@microsoft.com.

Actualizaciones de la herramienta de eliminación de software malintencionado y otras no relacionadas con la seguridad

Microsoft lanzará una versión actualizada de la herramienta de eliminación de software malintencionado en Windows Server Update Services (WSUS), Windows Update (WU) y el Centro de descarga. Encontrará información sobre la herramienta de eliminación de software malintencionado de Microsoft Windows en https://support.microsoft.com/es-es/kb/890830.
Las actualizaciones de alta prioridad no relacionadas con la seguridad que estarán disponibles en Microsoft Update (MU), Windows Update (WU) y Windows Server Update Services (WSUS) se detallarán en el siguiente artículo: https://support.microsoft.com/es-es/kb/894199.

Nuevos avisos de seguridad

Microsoft publicó un nuevo aviso de seguridad el martes, 10 de enero de 2017. A continuación aparece información general de este nuevo aviso de seguridad:

Aviso de seguridad 3214296	Vulnerabilidades en la verificación de la firma de tokens en extensiones de modelo de identidad
Resumen ejecutivo	Microsoft lanza este aviso de seguridad para proporcionar la información necesaria sobre una vulnerabilidad en la versión pública de las extensiones de modelo de identidad (Identity Model Extensions) 5.1.0. En este aviso también se ofrece consejo a los desarrolladores sobre lo que pueden hacer para garantizar que sus aplicaciones se actualicen correctamente. Microsoft conoce una vulnerabilidad de seguridad en la versión pública de Microsoft.IdentityModel.Tokens 5.1.0, donde los tokens firmados con claves simétricas podrían ser vulnerables a diversas manipulaciones. Si un token firmado con una clave simétrica se utiliza para verificar la identidad de un usuario, y la aplicación toma decisiones según la identidad verificada de este usuario, dichas decisiones podrían ser incorrectas y dar como resultado una elevación de privilegios.
Software afectado	Un proyecto de Microsoft .NET Core o .NET Framework está afectado por la vulnerabilidad que utiliza el paquete Microsoft.IdentityModel.Tokens versión 5.1.0.
Factores mitigadores	El algoritmo de firma de un token lo especifica el proveedor de identidad que utiliza una aplicación para autenticar a un usuario. Solo los algoritmos simétricos de firma son vulnerables ante este problema. Ningún proveedor de identidad conocido utiliza este tipo de algoritmos. Los tokens firmados por proveedores de identidad a través de algoritmos asimétricos no son vulnerables ante la manipulación de las claves. Las plantillas ASP.NET enviadas para utilizar en Visual Studio no se enlazan con la versión vulnerable de este paquete.
Acciones recomendadas	.NET tiene dos tipos diferentes de dependencias: directas y transitivas. Si su proyecto .NET Framework o .NET Core tiene una dependencia directa o transitiva en alguno de los paquetes afectados que se enumeran en la sección Software afectado, es posible que haya sido afectado. Deberá corregir las dependencias directas y revisar y corregir cualquier dependencia transitiva. Microsoft recomienda a todos los desarrolladores que actualicen sus paquetes a la versión 5.1.1 o superior, independientemente de si los utilizan para validar tokens firmados con un algoritmo de firma simétrico o para protegerse contra futuros usos de los componentes por sí mismos o por un software externo.
Más información	https://technet.microsoft.com/es-es/library/security/3214296

Detalles técnicos sobre el nuevo boletín de seguridad

Las ediciones de software que no aparezcan en las siguientes tablas de software afectado y no afectado, han expirado el ciclo de vida de soporte técnico. Para determinar el ciclo de vida de soporte técnico para su producto o edición, visite la página web del Ciclo de vida de soporte técnico de Microsoft, en https://support.microsoft.com/es-es/lifecycle/.

Identificador del boletín	Boletín de seguridad de Microsoft MS17-001	<volver al principio>
Título del boletín	Actualización de seguridad para Microsoft Edge (3214288)
Resumen ejecutivo	Esta actualización de seguridad resuelve una vulnerabilidad de Microsoft Edge. Esta vulnerabilidad podría permitir la elevación de privilegios si un usuario visita una página web especialmente diseñada a través de Microsoft Edge. Un atacante que consiga aprovecharse con éxito de la vulnerabilidad podría elevar los privilegios en las versiones afectadas de Microsoft Edge. La actualización soluciona la vulnerabilidad mediante la asignación de un origen único a las ventanas de nivel superior que navegan en las direcciones de URL de datos.
Clasificación de la gravedad y software afectado	Esta actualización de seguridad se ha calificado como Importante para Microsoft Edge en Windows 10 y Windows Server 2016.
Vectores de ataque	Un atacante podría hospedar un sitio web especialmente diseñado y luego convencer a un usuario para que visite dicho sitio. Un atacante podría también aprovecharse de los sitios web en peligro, o que aceptan u hospedan contenido proporcionado por el usuario o anuncios, añadiendo contenido especialmente diseñado para aprovechar la vulnerabilidad.
Factores mitigadores	El atacante tendría que convencer a los usuarios para que realicen alguna acción o consulten un contenido controlado por él mismo, normalmente, llamando su atención por correo electrónico o mensaje instantáneo, haciéndoles abrir un archivo adjunto enviado por correo electrónico o engañando a los usuarios para que hagan clic en un enlace que los lleve al sitio web del atacante.
Requisito de reinicio	Para llevar a cabo esta actualización es necesario reiniciar.
Boletines anteriores con actualizaciones sustituidas por actualizaciones de este boletín	Consulte el boletín para obtener más información.
Detalles completos	https://technet.microsoft.com/es-es/library/security/MS17-001

Identificador del boletín	Boletín de seguridad de Microsoft MS17-002	<volver al principio>
Título del boletín	Actualización de seguridad para Microsoft Office (3214291)
Resumen ejecutivo	Esta actualización de seguridad resuelve una vulnerabilidad de Microsoft Office. La vulnerabilidad podría permitir la ejecución del código remoto si un usuario abre un archivo de Microsoft Office diseñado especialmente. Un atacante que aprovechara la vulnerabilidad con éxito podría ejecutar un código arbitrario en el contexto del usuario actual. Los clientes cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuentan con privilegios administrativos. La actualización de seguridad resuelve la vulnerabilidad al corregir el modo en que las versiones afectadas de Office y los componentes de Office controlan los objetos de la memoria.
Clasificación de la gravedad y software afectado	Esta actualización de seguridad se ha calificado como Crítica para Microsoft Office 2016 y SharePoint Server 2016.
Vectores de ataque	Un usuario abre un archivo especialmente diseñado con una versión afectada del software de Microsoft Office. En un escenario de ataque de correo electrónico, un atacante podría aprovechar la vulnerabilidad enviando al usuario el archivo especialmente diseñado y convenciéndolo para que lo abra. En un escenario de ataque web, un atacante podría hospedar un sitio web (o sacar provecho de un sitio web en peligro que acepta u hospeda contenido proporcionado por el usuario) que contiene un archivo especialmente diseñado para aprovechar la vulnerabilidad.
Factores mitigadores	La explotación solo consigue los mismos permisos de usuario que los de la cuenta con la que se ha iniciado sesión. El atacante tendría que convencer a los usuarios para que hagan clic en un enlace, normalmente llamando su atención por correo electrónico o mensaje instantáneo, y, a continuación, convencerlos para que abran el archivo especialmente diseñado a tal efecto.
Requisito de reinicio	Para llevar a cabo esta actualización puede que sea necesario reiniciar.
Boletines anteriores con actualizaciones sustituidas por actualizaciones de este boletín	MS16-121
Detalles completos	https://technet.microsoft.com/es-es/library/security/MS17-002

Identificador del boletín	Boletín de seguridad de Microsoft MS17-003	<volver al principio>
Título del boletín	Actualización de seguridad para Adobe Flash Player (3214628)
Resumen ejecutivo	Esta actualización de seguridad resuelve las vulnerabilidades en Adobe Flash Player cuando se instala en todas las versiones compatibles de Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1, Windows 10 y Windows Server 2016. La actualización aborda las vulnerabilidades de Adobe Flash Player actualizando las bibliotecas de Adobe Flash que contiene Internet Explorer 10, Internet Explorer 11 y Microsoft Edge.
Clasificación de la gravedad y software afectado	Esta actualización de seguridad está clasificada como crítica para Adobe Flash Player cuando se instala en todas las versiones compatibles de Windows 8.1, Windows Server 2012, Windows Server 2012 R2, Windows RT 8.1, Windows 10 y Windows Server 2016.
Vectores de ataque	En un escenario de ataque web en el que el usuario está usando Internet Explorer para el escritorio, un atacante podría hospedar un sitio web especialmente diseñado para aprovecharse de cualquiera de estas vulnerabilidades a través de Internet Explorer y, a continuación, convencer a un usuario para que visite el sitio web. Un atacante también podría insertar un control de ActiveX marcado como "seguro para inicialización" en una aplicación o un documento de Microsoft Office que hospeda el motor de representación IE. El atacante también podría aprovecharse de los sitios web en peligro y de los que aceptan u hospedan contenido proporcionado por el usuario o anuncios. Estos sitios web podrían albergar contenido especialmente diseñado para aprovechar cualquiera de estas vulnerabilidades. En un ataque basado en la web en el que el usuario está usando Internet Explorer con la interfaz de Windows 8, el atacante primero debería afectar a un sitio web que ya esté indicado en la lista de Vista de Compatibilidad (CV). El atacante podría hospedar una página web con contenido Flash especialmente diseñado para aprovechar cualquiera de estas vulnerabilidades a través de Internet Explorer y luego convencer al usuario a que vea dicho sitio web. Para obtener más información sobre Internet Explorer y la lista CV, consulte este artículo de MSDN: Instrucciones de desarrollo para sitios web con contenido para Adobe Flash Player en Windows 8.
Factores mitigadores	El atacante tendría que convencer a los usuarios para que visiten el sitio web, normalmente consiguiendo que hagan clic en un enlace que aparece en un correo electrónico o mensaje instantáneo y que los lleva al sitio web del atacante. En la UI de Windows 8, Internet Explorer solo reproducirá contenido Flash en los sitios web que aparezcan en la lista de Vista de Compatibilidad (CV). Esta restricción requiere que un atacante, en primer lugar, ponga en peligro un sitio web que aparezca en la lista CV. El atacante podría hospedar contenido Flash especialmente diseñado para aprovechar cualquier de estas vulnerabilidades a través de Internet Explorer y luego convencer al usuario para que vea dicho sitio web. El atacante tendría que convencer a los usuarios para que lo hicieran ellos mismos. Generalmente, haciendo clic en un enlace que aparece en un mensaje de correo electrónico o un mensaje instantáneo que conduce a los usuarios al sitio web del atacante, o abriendo un archivo adjunto enviado por correo electrónico. De manera predeterminada, todas las versiones compatibles de Microsoft Outlook y Windows Live Mail abren mensajes HTML de correo electrónico en la zona de sitios restringidos. La zona de sitios restringidos, que inhabilita las secuencias de comandos y los controles ActiveX, ayuda a reducir el riesgo de que un atacante pueda utilizar cualquiera de estas vulnerabilidades para ejecutar un código malicioso. Si un usuario hace clic en un enlace de un mensaje de correo electrónico seguirá siendo vulnerable a la explotación de cualquiera de estas vulnerabilidades a través de un ataque basado en la web. De manera predeterminada, Internet Explorer en Windows Server 2012 y Windows Server 2012 R2 se ejecuta en un modo restringido denominado Configuración de seguridad mejorada. Este modo ayuda a reducir la probabilidad de aprovechar estas vulnerabilidades de Adobe Flash Player en Internet Explorer.
Requisito de reinicio	Para llevar a cabo esta actualización es necesario reiniciar.
Boletines anteriores con actualizaciones sustituidas por actualizaciones de este boletín	MS16-154
Detalles completos	https://technet.microsoft.com/es-es/library/security/MS17-003

Identificador del boletín	Boletín de seguridad de Microsoft MS17-004	<volver al principio>
Título del boletín	Actualización de seguridad para el Servicio de subsistema de autoridad de seguridad local (3216771)
Resumen ejecutivo	Existe una vulnerabilidad de denegación de servicio en el modo en el que el Servicio de subsistema de autoridad de seguridad local (LSASS) gestiona las solicitudes de autenticación. El atacante que consiga aprovecharse con éxito de la vulnerabilidad podría causar una denegación de servicio en el LSASS del sistema de destino, lo cual provocaría un reinicio automático del sistema. Esta actualización de seguridad resuelve la vulnerabilidad al cambiar el modo en el que el LSASS gestiona las solicitudes de autenticación especialmente diseñadas.
Software afectado	Esta actualización de seguridad se ha calificado como Importante para Microsoft Windows Vista, Windows Server 2008, Windows 7 y Windows Server 2008 R2 (y Server Core).
Vectores de ataque	Un atacante no autenticado podría enviar una solicitud de autenticación especialmente diseñada.
Factores mitigadores	Microsoft no ha identificado ningún factor mitigador para esta vulnerabilidad.
Requisito de reinicio	Para llevar a cabo esta actualización es necesario reiniciar.
Boletines anteriores con actualizaciones sustituidas por actualizaciones de este boletín	Consulte el boletín para obtener más información.
Detalles completos	https://technet.microsoft.com/es-es/library/security/MS17-004

Respecto a la coherencia de la información

Procuramos proporcionarle información precisa a través de contenido estático (este correo) y dinámico (basado en web). El contenido de seguridad de Microsoft publicado en la web se actualiza ocasionalmente para incluir la información más reciente. Si esto provoca incoherencias entre la información de aquí y la información del contenido de seguridad basado en web de Microsoft, la información autorizada es esta última.

Si tiene alguna pregunta respecto a esta alerta, póngase en contacto con su administrador técnico de cuentas (TAM) o director de prestación de servicios (SDM).

Saludos!

Microsoft CSS Security Team

Boletín de seguridad de Microsoft para Enero de 2017

Additional resources