Lanzamiento de actualización de seguridad de Microsoft de junio de 2017

Cuál es el propósito de esta alerta?

Esta alerta le proporciona información general sobre nuevas actualizaciones de seguridad publicadas el martes, 13 de junio de 2017. Cada mes, Microsoft publica actualizaciones de seguridad para solucionar vulnerabilidades de seguridad en los productos de Microsoft.

Resumen de nueva actualización de seguridad

El martes, 13 de junio de 2017, Microsoft publicará nuevas actualizaciones de seguridad que afectan a los siguientes productos de Microsoft:

Familia de productos Gravedad máxima

Impacto máximo

Requisito de reinicio

Artículos relacionados o páginas web de soporte técnico
Windows 10 y Windows Server 2016 (incluido Microsoft Edge) Crítica

Ejecución del código remoto

Requiere reiniciar

Windows 10 RTM: 4022727; Windows 10 1511: 4022714; Windows 10 1607: 4022715; Windows 10 1703: 4022725; Windows Server 2016: 4022715.
Windows 8.1 y Windows Server 2012 R2 Crítica

Ejecución del código remoto

Requiere reiniciar

Windows 8.1 y Windows Server 2012 R2:
4022717
(actualización de solo seguridad) y 4022726
(paquete acumulativo mensual).
Windows Server 2012 Crítica

Ejecución del código remoto

Requiere reiniciar

Windows Server 2012: 4022718 (actualización de solo seguridad) y
4022724

(paquete acumulativo mensual).
Windows RT 8.1 Crítica

Ejecución del código remoto

Requiere reiniciar

Windows RT 8.1: 4022726. Nota: Las actualizaciones de Windows RT 8.1 solo están disponibles a través de Windows Update.
Windows 7 y Windows Server 2008 R2 Crítica

Ejecución del código remoto

Requiere reiniciar

Windows 7 y Windows Server 2008 R2: 4022722 (actualización de solo seguridad) y 4022719 (paquete acumulativo mensual).
Windows Server 2008 Crítica

Ejecución del código remoto

Requiere reiniciar

Las actualizaciones para Windows Server 2008 no se ofrecen de manera acumulativa ni en paquetes. En los siguientes artículos se hace referencia a una versión de Windows Server 2008: 3217845, 4018106, 4019204, 4021903, 4021923, 4022008, 4022010, 4022013, 4022883, 4022884, 4022887 y 4024402.
Internet Explorer Crítica

Ejecución del código remoto

Requiere reiniciar

Internet Explorer 9: 4021558; Internet Explorer 10: 4022724
y 4021558; Internet Explorer 11: 4021558, 4022714, 4022715, 4022719, 4022725, 4022726 y 4022727.
Microsoft Office, Servicios de Office, Office Online y otro software relacionado con Office Crítica

Ejecución del código remoto

Puede que sea necesario reiniciar

Hay 42 artículos de KB sobre los componentes de Office en esta publicación, demasiados para detallarlos aquí. Los vínculos a estos artículos están en la Guía de actualizaciones de seguridad y en la sección Descargas y actualizaciones de la página de inicio de Office TechCenter
Microsoft Silverlight Crítica

Ejecución del código remoto

Puede que sea necesario reiniciar

Microsoft Silverlight: 4023307.
Microsoft Lync y Skype Empresarial Crítica

Ejecución del código remoto

Puede que sea necesario reiniciar

Microsoft Lync: 3191939; Skype Empresarial: 3203382
Adobe Flash Player Crítica

Ejecución del código remoto

Requiere reiniciar

Información de Microsoft sobre las actualizaciones de seguridad para Adobe Flash Player: 4022730.
Nota: Procuramos proporcionarle información precisa a través de contenido estático (este correo electrónico) y dinámico (basado en web). El contenido de seguridad en línea de Microsoft (Guía de actualizaciones de seguridad) se actualiza con frecuencia para incluir la información más reciente. Si esto provoca incoherencias entre la información de aquí y la información del contenido de seguridad en línea de Microsoft, la información autorizada es esta última.

Descripción de las vulnerabilidades de seguridad

A continuación se proporciona un resumen en el que se muestra el número de vulnerabilidades tratadas en esta versión, desglosado por producto o componente y por impacto.

Detalles de la vulnerabilidad (1)

RCE

EOP

ID

SFB

DOS

SPF

T

Divulgación pública

Vulnerabilidad conocida

CVSS máx.

Windows 10 1703

7

3

34

1

1

0

1

0

2

8,8

Windows 10 1607 y Server 2016

7

7

35

6

1

0

1

0

2

8,8

Windows 10 1511

7

7

35

4

1

0

0

0

2

8,8

Windows 10 RTM

7

7

35

3

0

0

0

0

2

8,8

Windows 8.1 y Server 2012 R2

8

6

37

1

0

0

0

0

2

8,8

Windows Server 2012

8

3

38

0

0

0

0

0

2

8,8

Windows 7 y Server 2008 R2

7

3

39

0

0

0

0

0

2

8,8

Windows Server 2008

7

2

35

0

0

0

0

0

2

8,8

Microsoft Edge

10

0

3

3

0

0

0

3

0

5,5

Internet Explorer

4

0

2

0

0

0

0

0

0

7,5

Microsoft Office

12

1

13

1

0

1

0

0

0

N/D (2)

Microsoft Silverlight

2

0

0

0

0

0

0

0

0

N/D (2)

Skype Empresarial y para Lync

2

0

0

0

0

0

0

0

0

N/D (2)

RCE = Ejecución de código remoto | EOP = Elevación de privilegios | ID = Divulgación de información
SFB = Franqueo de características de seguridad | DOS = Denegación de servicio | SPF = Suplantación de identidad | T = Manipulación

(1) Es posible que vulnerabilidades que aparecen en varios componentes se representen más de una vez en la tabla.

(2) En el momento de la publicación, las puntuaciones CVSS solo estaban disponibles para Windows, Internet Explorer y Microsoft Edge.

Guía de actualizaciones de seguridad

La Guía de actualizaciones de seguridad es el recurso definitivo para obtener de Microsoft información sobre actualizaciones de seguridad.

Portal de la Guía de actualizaciones de seguridad:  https://aka.ms/securityupdateguide

Aviso de seguridad 4025685

Microsoft publicó el Aviso de seguridad 4025685 el 13 de junio de 2017.  Aquí hay una descripción general:

Aviso de seguridad 4025685 Consejos relativos a la actualización de seguridad de junio de 2017
Resumen ejecutivo Microsoft está anunciando la disponibilidad de actualizaciones de seguridad para plataformas más antiguas junto a la publicación habitual de la actualización del martes. Algunas de estas actualizaciones resuelven nuevas vulnerabilidades críticas, mientras que otras proporcionan soluciones que anteriormente solo se habían publicado para clientes con Contratos de soporte técnico personalizado. Todas las vulnerabilidades que estas actualizaciones abordan suponen un riesgo mayor debido a los ataques y las revelaciones de escala nacional que se han producido o que pueden producirse.
Consejos para clientes comerciales Para las empresas y otros clientes que gestionan las actualizaciones de forma manual, este aviso proporciona información sobre los paquetes relevantes. Microsoft recomienda a dichos clientes revisar estos paquetes y asegurarse de que los tienen implementados en su entorno.
Nota: Los clientes comerciales con sistemas operativos antiguos que ya no reciben con regularidad actualizaciones de seguridad encontrarán este aviso especialmente relevante y deberían considerar prioritaria su implementación.  
Consejos para clientes Los clientes que tienen las actualizaciones automáticas habilitadas mediante Windows Update ya están protegidos y no tienen que realizar ninguna acción. Windows 10 tiene habilitadas las actualizaciones automáticas. Para comprobar si las actualizaciones automáticas están habilitadas, consulte Windows Update: preguntas más frecuentes.
Información adicional proporcionada El aviso de seguridad 4025685 contiene detalles acerca del software afectado, consejos específicos para el software antiguo, las plataformas integradas y las plataformas compatibles, respuestas a las preguntas más frecuentes y vínculos a recursos adicionales.
Recursos adicionales:

Otros avisos de seguridad

El 13 de junio de 2017 se publicaron los siguientes avisos de seguridad adicionales.

Aviso de seguridad 170008;

Aviso 170008 Defense-in-depth Update for Microsoft SharePoint (Actualización de defensa en profundidad para Microsoft SharePoint)
Resumen ejecutivo Microsoft ha publicado una actualización para Microsoft SharePoint Enterprise Server 2013 Service Pack 1 y Microsoft SharePoint Enterprise Server 2016 como medida de defensa en profundidad.
Software afectado Microsoft SharePoint Enterprise Server 2016 y Microsoft SharePoint Enterprise Server 2013 Service Pack 1
Acciones recomendadas Revise el aviso de seguridad 170008 para obtener más detalles.
Más información https://msrc-portal-preview.azurewebsites.net/en-US/security-guidance/advisory/ADV170008

Aviso de seguridad 170007;

Aviso 170007 June Flash Security Update (Actualización de seguridad de Flash de junio)
Resumen ejecutivo Esta actualización de seguridad resuelve las siguientes vulnerabilidades, descritas en el Boletín de seguridad de Adobe APSB17-17:
CVE-2017-3075, CVE-2017-3076, CVE-2017-3077, CVE-2017-3078, CVE-2017-3079, CVE-2017-3081, CVE-2017-3082, CVE-2017-3083, CVE-2017-3084.
Software afectado Versiones compatibles de Windows 10, Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows 8.1 y Windows RT 8.1.
Acciones recomendadas Consulte el aviso de seguridad 170007 para obtener más detalles sobre el software afectado, modos de mitigar los problemas, soluciones alternativas, respuestas a las preguntas más frecuentes y vínculos a más información.
Más información https://msrc-portal-preview.azurewebsites.net/en-US/security-guidance/advisory/ADV170007

Actualizaciones de seguridad publicadas de nuevo

El 13 de junio de 2017 se volvieron a publicar las siguientes actualizaciones de seguridad.

Actualización de seguridad para
CVE-2017-0167:

CVE-2017-0167 Vulnerabilidad de divulgación de información del kernel de Windows
¿Qué ha cambiado? Para abordar de forma completa CVE-2017-0167, Microsoft ha publicado la actualización de seguridad 4022887 para las ediciones compatibles de Windows Server 2008, así como el paquete acumulativo mensual 4015549 y la actualización de seguridad 4015546 para las ediciones compatibles de Windows 7 y Windows Server 2008 R2.
Acciones recomendadas Microsoft recomienda a los clientes que ejecutan cualquiera de estas ediciones afectadas de Windows instalar la actualización correspondiente para protegerse por completo ante esta vulnerabilidad. Consulte el artículo 4022887 de la Knowledge Base de Microsoft, las Notas de la versión KB4015549 de Microsoft o las Notas de la versión KB4015546 para obtener más información.
Más información https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-0167

Actualización de seguridad para
CVE-2016-3326:

CVE-2016-3326 Vulnerabilidad de divulgación de información del kernel de Windows
¿Qué ha cambiado? Para abordar de forma completa CVE-2016-3326, Microsoft va a publicar actualizaciones de seguridad en junio para todos sus navegadores afectados.
Acciones recomendadas Microsoft recomienda a los clientes que ejecutan los navegadores de Microsoft afectados instalar la actualización de seguridad de junio para protegerse por completo ante esta vulnerabilidad. Consulte las notas de la versión o los artículos de la Knowledge Base correspondientes para obtener más información.
Más información https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2016-3326  

Detalles de la vulnerabilidad de seguridad

A continuación, encontrará los resúmenes de algunas de las vulnerabilidades de seguridad de esta versión. Estas vulnerabilidades se han seleccionado entre el conjunto global de vulnerabilidades existentes en la versión por alguno de los motivos siguientes: 1) Hemos recibido consultas relacionadas con la vulnerabilidad; 2) la vulnerabilidad se ha puesto de relieve en la prensa especializada; o 3) la vulnerabilidad puede resultar más perjudicial que otras de la misma versión. Dado que no proporcionamos resúmenes para todas las vulnerabilidades de la versión, debería consultar el contenido de la Guía de actualizaciones de seguridad
para buscar la información que no esté contenida en estos resúmenes.

CVE-2017-8543 Vulnerabilidad de ejecución de código remoto de Windows Search
Resumen ejecutivo Existe una vulnerabilidad de ejecución de código remoto cuando Windows Search controla los objetos en la memoria. Un atacante que hubiera aprovechado esta vulnerabilidad con éxito podría tomar el control de un sistema afectado. Así, un atacante podría instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas con todos los derechos de usuario.
La actualización de seguridad resuelve la vulnerabilidad al corregir la manera en que Windows Search controla los objetos de la memoria.
Vectores de ataque Para aprovechar la vulnerabilidad, el atacante podría enviar mensajes de SMB especialmente diseñados para el servicio Windows Search. Un atacante con acceso a un equipo objetivo podría aprovechar esta vulnerabilidad para elevar el nivel de privilegios y tomar el control del mismo. Además, en un entorno empresarial, un atacante remoto no autenticado podría activar de forma remota la vulnerabilidad mediante una conexión SMB y, a continuación, tomar el control de un equipo objetivo.
Factores mitigadores Microsoft no ha identificado ningún factor mitigador para esta vulnerabilidad.
Soluciones alternativas Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.
Software afectado Versiones compatibles de Windows 10, Window Server 2016, Windows 8.1, Windows RT 8.1, Windows Server 2012 R2, Windows Server 2012, Windows 7, Windows Server 2008 R2 y Windows Server 2008.
Impacto Ejecución del código remoto
Gravedad Crítica
¿Divulgación pública? No
¿Vulnerabilidades conocidas?
Evaluación de vulnerabilidad, más reciente: 0: vulnerabilidad detectada
Evaluación de vulnerabilidad, heredada: 0: vulnerabilidad detectada
Más detalles https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8543
CVE-2017-8464 Vulnerabilidad de ejecución de código remoto de LNK
Resumen ejecutivo Microsoft Windows incluye una ejecución de código remoto que podría activarse si se muestra el icono de un acceso directo especialmente preparado. Un atacante que aprovechara esta vulnerabilidad con éxito podría obtener los mismos derechos de usuario que el usuario local. Los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que los usuarios que dispongan de privilegios administrativos.
La actualización de seguridad aborda la vulnerabilidad corrigiendo la validación de las referencias a iconos de accesos directos.
Vectores de ataque El atacante podría presentar al usuario una unidad extraíble que contiene un acceso directo malicioso y un código binario malicioso asociado. Cuando el usuario abre esta unidad en el Explorador de Windows o en cualquier otra aplicación que analice el icono del acceso directo, el archivo binario malicioso ejecuta el código que el atacante desee en el sistema objetivo.
Factores mitigadores Microsoft no ha identificado ningún factor mitigador para esta vulnerabilidad.
Soluciones alternativas Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.
Software afectado Versiones compatibles de Windows 10, Window Server 2016, Windows 8.1, Windows RT 8.1, Windows Server 2012 R2, Windows Server 2012, Windows 7, Windows Server 2008 R2 y Windows Server 2008.
Impacto Ejecución del código remoto
Gravedad Crítica
¿Divulgación pública? No
¿Vulnerabilidades conocidas?
Evaluación de vulnerabilidad, más reciente: 0: vulnerabilidad detectada
Evaluación de vulnerabilidad, heredada: 0: vulnerabilidad detectada
Más detalles https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8464
CVE-2017-8530 Vulnerabilidad de franqueo de características de seguridad de Microsoft Edge
Resumen ejecutivo Existe una vulnerabilidad de franqueo de características de seguridad cuando Microsoft Edge no impone apropiadamente las directivas de mismo origen, lo que podría permitir a un atacante obtener acceso a información de orígenes distintos del actual.
La actualización resuelve la vulnerabilidad ayudando a garantizar la aplicación correcta de las directivas entre dominios en Microsoft Edge.
Vectores de ataque Para aprovechar esta vulnerabilidad, un atacante tendría que engañar al usuario para que cargara una página web especialmente preparada o para que visitara un sitio web malicioso. La página también podría estar dentro de un sitio web o red de anuncios afectados.
Factores mitigadores El atacante no tendría modo de obligar al usuario a visitar el contenido malicioso o a interactuar con él. Para que el ataque tenga éxito, es preciso que el atacante logre engañar al usuario para que realice una acción no segura (ingeniería social).
Soluciones alternativas Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.
Software afectado Microsoft Edge en las versiones compatibles de Windows 10 y Server 2016.
Impacto Derivación de la característica de seguridad
Gravedad Importante
¿Divulgación pública?
¿Vulnerabilidades conocidas? No
Evaluación de vulnerabilidad, más reciente: 1: vulnerabilidad más probable
Evaluación de vulnerabilidad, heredada: 4: no se ve afectado
Más detalles https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8530
CVE-2017-8509 Vulnerabilidad de ejecución de código remoto de Microsoft Office
Resumen ejecutivo Existe una vulnerabilidad de ejecución de código remoto en el software de Microsoft Office cuando dicho software no logra controlar correctamente los objetos en la memoria. Un atacante que aprovechara la vulnerabilidad con éxito podría usar un código diseñado especialmente para realizar acciones en el contexto de seguridad del usuario actual. Luego, el archivo podría, por ejemplo, tomar medidas en nombre del usuario conectado con los mismos permisos que el usuario actual.
La actualización de seguridad resuelve la vulnerabilidad al corregir la manera en que Microsoft Office controla los objetos en la memoria.
Vectores de ataque La explotación de esta vulnerabilidad requiere que un usuario abra un archivo especialmente diseñado con una versión afectada del software de Microsoft Office.
En un escenario de ataque de correo electrónico, un atacante podría aprovechar la vulnerabilidad enviando al usuario el archivo especialmente diseñado y convenciéndolo para que lo abra.

En un escenario de ataque web, un atacante podría hospedar un sitio web (o sacar provecho de un sitio web en peligro que acepta u hospeda contenido proporcionado por el usuario) que contiene un archivo especialmente diseñado para aprovechar la vulnerabilidad.

Factores mitigadores Un atacante no puede forzar de ninguna forma a los usuarios a visualizar el sitio web. En cambio, el atacante tendría que convencer a los usuarios para que hagan clic en un vínculo, normalmente llamando su atención por correo electrónico o mensaje instantáneo, y, a continuación, convencerlos para que abran el archivo especialmente diseñado a tal efecto.
Soluciones alternativas Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.
Software afectado Versiones compatibles de Microsoft Office 2007, Office 2010, Office 2013, Office 2016, Módulo de compatibilidad de Office, Office Online Server 2016, Office Web Apps 2013, Office Web Apps Server 2010, Office Web Apps Server 2013, OneNote 2010, SharePoint Enterprise Server 2013, SharePoint Enterprise Server 2016, Word 2007, Word 2010, Word 2013, Word 2013 RT, Word 2016, Word for Mac 2011, Word Automation Services.
Impacto Ejecución del código remoto
Gravedad Importante
¿Divulgación pública? No
¿Vulnerabilidades conocidas? No
Evaluación de vulnerabilidad, más reciente: 2: vulnerabilidad menos probable
Evaluación de vulnerabilidad, heredada: 2: vulnerabilidad menos probable
Más detalles https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8509
CVE-2017-0283 Vulnerabilidad de ejecución de código remoto de Windows Uniscribe
Resumen ejecutivo Existe una vulnerabilidad de ejecución de código remoto debido a la manera en que Windows Uniscribe  controla los objetos en la memoria. Un atacante que hubiera aprovechado esta vulnerabilidad con éxito podría tomar el control de un sistema afectado. Así, un atacante podría instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas con todos los derechos de usuario.
La actualización de seguridad resuelve la vulnerabilidad al corregir la manera en que Windows Uniscribe controla los objetos de la memoria.
Vectores de ataque Hay varias maneras en las que un atacante podría aprovechar esta vulnerabilidad:

  • En el caso de un ataque web, un atacante podría hospedar un sitio web especialmente diseñado para aprovechar esta vulnerabilidad y luego convencer a un usuario para que lo visite. Un atacante no puede forzar de ninguna forma a los usuarios a visualizar el contenido controlado por él. En cambio, el atacante tendría que convencer a los usuarios para que realicen alguna acción, normalmente consiguiendo que hagan clic en un enlace que aparece en un correo electrónico o mensaje instantáneo y que los lleva al sitio web del atacante, o que abran un archivo adjunto enviado por correo electrónico.
  • En caso de ataque en el intercambio de archivos, el atacante podría proporcionar un archivo de documento especialmente diseñado para aprovechar esta vulnerabilidad y luego convencer al usuario para que abra el archivo de documento.
  • Tenga en cuenta que, para los productos de Office marcados en la tabla Productos afectados con gravedad Crítica, el Panel de vista previa es un vector de ataque para esta vulnerabilidad.
Factores mitigadores
  • Un atacante no puede forzar de ninguna forma a los usuarios a visualizar el contenido controlado por él. En cambio, el atacante tendría que convencer a los usuarios para que realicen alguna acción, normalmente consiguiendo que hagan clic en un enlace que aparece en un correo electrónico o mensaje instantáneo y que los lleva al sitio web del atacante, o que abran un archivo adjunto enviado por correo electrónico.
  • Los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que los usuarios que dispongan de privilegios administrativos.
Soluciones alternativas Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.
Software afectado Todas las versiones compatibles de Windows, Office 2007, Office 2010, Lync 2013, Office Word Viewer, Silverlight 5, Silverlight 5 Developer Runtime y Skype Empresarial 2016.
Impacto Ejecución del código remoto
Gravedad Crítica
¿Divulgación pública? No
¿Vulnerabilidades conocidas? No
Evaluación de vulnerabilidad, más reciente: 2: vulnerabilidad menos probable
Evaluación de vulnerabilidad, heredada: 2: vulnerabilidad menos probable
Más detalles https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-0283

Respecto a la coherencia de la información

Procuramos proporcionarle información precisa a través de contenido estático (este correo) y dinámico (basado en web). El contenido de seguridad de Microsoft publicado en la Web se actualiza con frecuencia para incluir la información más reciente. Si esto provoca incoherencias entre la información de aquí y la información del contenido de seguridad basado en web de Microsoft, la información autorizada es esta última.

Si tiene alguna pregunta respecto a esta alerta, póngase en contacto con su administrador técnico de cuentas (TAM) o director de prestación de servicios (SDM).

Saludos!

Microsoft CSS Security Team