Lanzamiento de actualización de seguridad de Microsoft de septiembre de 2017

 

Descripción de la actualización de seguridad

 

El martes, 12 de septiembre de 2017, Microsoft publicará nuevas actualizaciones de seguridad que afectan a los siguientes productos de Microsoft:

 

Familia de productos

Gravedad máxima

Impacto máximo

Artículos de KB relacionados o páginas web de soporte técnico

Windows 10 y Windows Server 2016 (incluido Microsoft Edge)

Crítica

Ejecución del código remoto

Windows 10 RTM: 4038781; Windows 10 1511: 4038783; Windows 10 1607: 4038782; Windows 10 1703: 4038788; Windows Server 2016: 4038782.

Windows 8.1 y Windows Server 2012 R2

Crítica

Ejecución del código remoto

Windows 8.1 y Windows Server 2012 R2: 4038793 (solo seguridad) y 4038792 (paquete cumulativo mensual).

Windows Server 2012

Crítica

Ejecución del código remoto

Windows Server 2012: 4038786 (solo seguridad) y 4038799 (paquete cumulativo mensual).

Windows RT 8.1

Crítica

Ejecución del código remoto

Windows RT 8.1: 4038792. Nota: Las actualizaciones de Windows RT 8.1 solo están disponibles a través de Windows Update.

Windows 7 y Windows Server 2008 R2

Crítica

Ejecución del código remoto

Windows 7 y Windows Server 2008 R2: 4038779 (solo seguridad) y 4038777 (paquete cumulativo mensual).

Windows Server 2008

Crítica

Ejecución del código remoto

Las actualizaciones para Windows Server 2008 no se ofrecen de manera acumulativa ni en paquetes. En los siguientes artículos se hace referencia a una versión de Windows Server 2008: 4032201, 4034786, 4038874, 4039038, 4039384.

Software relacionado con Microsoft Office

Crítica

Ejecución del código remoto

El número de artículos de KB con Office para cada publicación de actualizaciones de seguridad mensual varía en función del número de CVE y el número de componentes afectados. Hay demasiados artículos para enumerar en este resumen. Los vínculos a los artículos relacionados con los componentes de Office están en la Guía de actualizaciones de seguridad.

Internet Explorer

Crítica

Ejecución del código remoto

Internet Explorer 9: 4036586; Internet Explorer 10: 4036586 (IE acumulativo) y 4038799 (paquete acumulativo mensual); Internet Explorer 11: 4036586, 4038777, 4038781, 4038782, 4038783, 4038788 y 4038792.

Microsoft SharePoint Server, SharePoint Enterprise Server y SharePoint Foundation

Importante

Ejecución del código remoto

Microsoft SharePoint Server 2013: 4011113 y 3213560; Microsoft SharePoint Foundation 2013: 4011117; Microsoft SharePoint Enterprise Server 2016: 4011127.

Skype Empresarial, Microsoft Lync y Microsoft Live Meeting

Importante

Ejecución del código remoto

En los siguientes artículos se hace referencia a una versión de Microsoft Lync, Live Meeting o Skype Empresarial: 4025868, 4011040, 4011107, 4025865, 4025866, 4025867, 4025868 y 4025869.

Microsoft Exchange Server

Importante

Divulgación de información

Información de Microsoft sobre las actualizaciones de seguridad para Exchange Server:
4036108.

.NET Framework

Importante

Ejecución del código remoto

Hay 12 artículos de KB en esta publicación que se refieren a las distintas versiones de .NET Framework, demasiados para detallarlos aquí. Los vínculos a estos artículos están en la Guía de actualizaciones de seguridad.

Adobe Flash Player

Crítica

Ejecución del código remoto

Información de Microsoft sobre las actualizaciones de seguridad para Adobe Flash Player:
4038806.

 

Información general sobre las vulnerabilidades tratadas en esta versión

 

A continuación se proporciona un resumen en el que se muestra el número de vulnerabilidades tratadas en esta versión, desglosado por producto o componente y por impacto.

 

Detalles de la vulnerabilidad (1)

RCE

EOP

ID

SFB

DOS

SPF

Divulgación pública

Vulnerabilidad conocida

CVSS máx.

Windows 10 1703

4

2

16

2

0

1

1

0

8,4

Windows 10 1607 y Server 2016

7

3

17

1

1

1

2

0

9,8

Windows 10 1511

4

3

15

0

0

1

0

0

8,4

Windows 10 RTM

5

3

15

0

0

1

0

0

8,4

Windows 8.1 y Server 2012 R2

8

2

16

0

0

1

0

0

9,8

Windows Server 2012

6

1

11

0

0

0

0

0

9,8

Windows 7 y Server 2008 R2

3

2

16

0

0

1

0

0

8,4

Windows Server 2008

2

2

15

0

0

1

0

0

8,4

Internet Explorer

5

0

1

0

0

1

0

0

7,5

Microsoft Edge

20

0

5

2

0

2

1

0

4,3

Office

10

0

2

0

0

0

0

0

N/D (2)

SharePoint

3

2

0

0

0

0

0

0

N/D (2)

Skype Empresarial y para Lync

1

0

2

0

0

0

0

0

N/D (2)

Exchange Server

0

0

2

0

0

0

0

0

N/D (2)

.NET Framework

1

0

0

0

0

0

0

1

N/D (2)

RCE = Ejecución de código remoto | EOP = Elevación de privilegios | ID = Divulgación de información
SFB = Franqueo de características de seguridad | DOS = Denegación de servicio | SPF = Suplantación de identidad

 

(1) Es posible que vulnerabilidades que aparecen en varios componentes se representen más de una vez en la tabla.

(2) En el momento de la publicación, las puntuaciones CVE solo estaban disponibles para Windows, Internet Explorer y Microsoft Edge.

 

Guía de actualizaciones de seguridad

 

La Guía de actualizaciones de seguridad es nuestro recurso recomendado para obtener información sobre actualizaciones de seguridad. Puede personalizar sus vistas y crear hojas de cálculo del software afectado, así como descargar datos a través de una API de RESTful.

 

Portal de la Guía de actualizaciones de seguridad:  https://aka.ms/securityupdateguide

 

Página web de preguntas más frecuentes (P+F) sobre la Guía de actualizaciones de seguridad: https://technet.microsoft.com/es-es/security/mt791750

 

Detalles de la vulnerabilidad

 

A continuación, encontrará los resúmenes de algunas de las vulnerabilidades de seguridad de esta versión. Estas vulnerabilidades se han seleccionado entre el conjunto global de vulnerabilidades existentes en la versión por alguno de los motivos siguientes: 1) Hemos recibido consultas relacionadas con la vulnerabilidad; 2) la vulnerabilidad se ha puesto de relieve en la prensa especializada; o 3) la vulnerabilidad puede resultar más perjudicial que otras de la misma versión. Dado que no proporcionamos resúmenes para todas las vulnerabilidades de la versión, debería consultar el contenido de la Guía de actualizaciones de seguridad
para buscar la información que no esté contenida en estos resúmenes.

 

CVE-2017-8686

Vulnerabilidad de ejecución de código remoto de Windows DHCP Server

Resumen ejecutivo

Existe una vulnerabilidad de daño de la memoria en el servicio Windows Server DHCP cuando un atacante envía paquetes especialmente diseñados a un servidor de conmutación por error de DHCP. Un atacante que aprovechara la vulnerabilidad con éxito podría ejecutar código arbitrario en el servidor de conmutación por error de DHCP o hacer que el servicio DHCP deje de responder.

La actualización de seguridad aborda la vulnerabilidad al corregir la forma en que los servidores de conmutación por error de DHCP controlan los paquetes de red.

Vectores de ataque

Para aprovechar la vulnerabilidad correctamente, un atacante podría enviar un paquete diseñado especialmente a un servidor DHCP. Sin embargo, para que el ataque tenga éxito, el servidor DHCP debe estar configurado en modo de conmutación por error.

Factores mitigadores

Microsoft no ha identificado ningún factor mitigador para esta vulnerabilidad.

Soluciones alternativas

Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.

Software afectado

Windows Server 2012, Windows Server 2012 R2 y Windows Server 2016

Impacto

Ejecución del código remoto

Gravedad

Crítica

¿Divulgación pública?

No

¿Vulnerabilidades conocidas?

No

Evaluación de vulnerabilidad, más reciente:

2: vulnerabilidad menos probable

Evaluación de vulnerabilidad, heredada:

2: vulnerabilidad menos probable

Más detalles

https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8686

 

 

CVE-2017-8696

Ejecución de código remoto del componente de gráficos de Microsoft

Resumen ejecutivo

Existe una vulnerabilidad de ejecución de código remoto debido a la manera en que Windows Uniscribe controla los objetos en la memoria. Un atacante que hubiera aprovechado esta vulnerabilidad con éxito podría tomar el control de un sistema afectado. Así, un atacante podría instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas con todos los derechos de usuario. Los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que los usuarios que dispongan de privilegios administrativos.

La actualización de seguridad resuelve la vulnerabilidad al corregir la manera en que Windows Uniscribe controla los objetos de la memoria.

Vectores de ataque

En el caso de un ataque web, un atacante podría hospedar un sitio web especialmente diseñado para aprovechar esta vulnerabilidad y luego convencer a un usuario para que lo visite.

En caso de ataque en el intercambio de archivos, el atacante podría proporcionar un archivo de documento especialmente diseñado para aprovechar esta vulnerabilidad y luego convencer al usuario para que abra el archivo de documento.

Factores mitigadores

Un atacante no puede forzar de ninguna forma a los usuarios a visualizar el contenido controlado por él. En cambio, el atacante tendría que convencer a los usuarios para que realicen alguna acción, normalmente consiguiendo que hagan clic en un enlace que aparece en un correo electrónico o mensaje instantáneo y que los lleva al sitio web del atacante, o que abran un archivo adjunto enviado por correo electrónico.

Soluciones alternativas

Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.

Software afectado

Windows 7, Windows Server 2008, Windows Server 2008 R2, Office 2007, Office 2010, Word Viewer, Lync 2010, Lync 2013, Skype Empresarial 2016 y Live Meeting 2007.

Impacto

Ejecución del código remoto

Gravedad

Crítica

¿Divulgación pública?

No

¿Vulnerabilidades conocidas?

No

Evaluación de vulnerabilidad, más reciente:

2: vulnerabilidad menos probable

Evaluación de vulnerabilidad, heredada:

2: vulnerabilidad menos probable

Más detalles

https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8696

 

 

CVE-2017-8748

Vulnerabilidad de daño de la memoria del motor de scripting

Resumen ejecutivo

Existe una vulnerabilidad de ejecución de código remoto en la forma en que los motores JavaScript de los exploradores de Microsoft procesan el contenido al controlar los objetos en la memoria. La vulnerabilidad podría dañar la memoria de tal manera que un atacante podría ejecutar código arbitrario en el contexto del usuario actual.

Un atacante que aprovechara la vulnerabilidad con éxito podría obtener los mismos derechos de usuario que el usuario actual. Si el usuario actual inició sesión con privilegios administrativos, un atacante que hubiera aprovechado la vulnerabilidad con éxito podría tomar el control de un sistema afectado. Así, un atacante podría instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas con todos los derechos de usuario.

La actualización de seguridad resuelve la vulnerabilidad al modificar la forma en que los motores de scripting de JavaScript de los exploradores de Microsoft controlan los objetos de la memoria.

Vectores de ataque

En un escenario de ataque web, un atacante podría hospedar una página web especialmente diseñada para aprovechar la vulnerabilidad a través de los exploradores de Microsoft y luego convencer a un usuario para que visite el sitio web.

Un atacante también podría insertar un control de ActiveX marcado como “seguro para inicialización” en una aplicación o un documento de Microsoft Office que hospeda el motor de procesamiento relacionado.

Asimismo, el atacante podría aprovecharse de los sitios web en peligro y de los que aceptan u hospedan contenido proporcionado por el usuario o anuncios. Estos sitios web podrían albergar contenido especialmente diseñado para aprovechar esta vulnerabilidad.

Factores mitigadores

Un atacante no puede forzar de ninguna forma a los usuarios a visualizar el contenido controlado por él. En cambio, el atacante tendría que convencer a los usuarios para que realicen alguna acción, normalmente consiguiendo que hagan clic en un enlace que aparece en un correo electrónico o mensaje instantáneo y que los lleva al sitio web del atacante, o que abran un archivo adjunto enviado por correo electrónico.

Un atacante que aprovechara la vulnerabilidad con éxito podría obtener los mismos derechos de usuario que el usuario actual. Configurar las cuentas de usuario con menos permisos reduciría el riesgo.

Soluciones alternativas

Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.

Software afectado

Microsoft Edge en clientes y servidores Windows afectados. Internet Explorer 11 en clientes y servidores Windows afectados.

Impacto

Ejecución del código remoto

Gravedad

Crítica

¿Divulgación pública?

No

¿Vulnerabilidades conocidas?

No

Evaluación de vulnerabilidad, más reciente:

1: vulnerabilidad más probable

Evaluación de vulnerabilidad, heredada:

1: vulnerabilidad más probable

Más detalles

https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8748

 

 

CVE-2017-8744

Vulnerabilidad de daño de la memoria de Microsoft Office

Resumen ejecutivo

Existe una vulnerabilidad de ejecución de código remoto en el software de Microsoft Office cuando dicho software no logra controlar correctamente los objetos en la memoria. Un atacante que aprovechara la vulnerabilidad con éxito podría usar un código diseñado especialmente para realizar acciones en el contexto de seguridad del usuario actual. Por ejemplo, el archivo podría tomar medidas en nombre del usuario conectado con los mismos permisos que el usuario actual.

La actualización de seguridad resuelve la vulnerabilidad al corregir la manera en que Microsoft Office controla los objetos en la memoria.

Vectores de ataque

La explotación de esta vulnerabilidad requiere que un usuario abra un archivo especialmente diseñado con una versión afectada del software de Microsoft Office.

En un escenario de ataque de correo electrónico, un atacante podría aprovechar la vulnerabilidad enviando al usuario el archivo especialmente diseñado y convenciéndolo para que lo abra.

En un escenario de ataque web, un atacante podría hospedar un sitio web (o sacar provecho de un sitio web en peligro que acepta u hospeda contenido proporcionado por el usuario) que contiene un archivo especialmente diseñado para aprovechar la vulnerabilidad.

Factores mitigadores

Un atacante no puede forzar de ninguna forma a los usuarios a visualizar el contenido controlado por él. En cambio, el atacante tendría que convencer a los usuarios para que realicen alguna acción, normalmente consiguiendo que hagan clic en un enlace que aparece en un correo electrónico o mensaje instantáneo y que los lleva al sitio web del atacante, o que abran un archivo adjunto enviado por correo electrónico.

Un atacante que aprovechara la vulnerabilidad con éxito podría usar un código diseñado especialmente para realizar acciones en el contexto de seguridad del usuario actual. Configurar las cuentas de usuario con menos permisos reduciría el riesgo.

Soluciones alternativas

Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.

Software afectado

Microsoft Office 2007, Office 2010, Office 2013 RT, Office 2013 y Office 2016.

Impacto

Ejecución del código remoto

Gravedad

Importante

¿Divulgación pública?

No

¿Vulnerabilidades conocidas?

No

Evaluación de vulnerabilidad, más reciente:

1: vulnerabilidad más probable

Evaluación de vulnerabilidad, heredada:

1: vulnerabilidad más probable

Más detalles

https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8744

 

 

CVE-2017-8629

Vulnerabilidad de Microsoft SharePoint XSS

Resumen ejecutivo

Existe una vulnerabilidad de elevación de privilegios cuando Microsoft SharePoint Server no logra corregir correctamente una solicitud web especialmente diseñada a SharePoint Server.

La actualización de seguridad resuelve la vulnerabilidad al ayudar a garantizar que SharePoint Server corrige correctamente las solicitudes web.

Vectores de ataque

Un atacante autenticado podría aprovechar la vulnerabilidad al enviar una solicitud especialmente diseñada a un servidor SharePoint afectado. Un atacante que aprovechara la vulnerabilidad con éxito podría ejecutar llevar a cabo ataques de scripting entre sitios en los sistemas afectados y ejecutar script en el contexto de seguridad del usuario actual. Estos ataques podrían permitir al atacante leer contenido que no está autorizado a leer, usar la identidad de la víctima para tomar medidas en el sitio SharePoint en nombre del usuario, como cambiar los permisos y eliminar contenido, e inyectar contenido malintencionado en el explorador del usuario.

Factores mitigadores

Microsoft no ha identificado ningún factor mitigador para esta vulnerabilidad.

Soluciones alternativas

Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.

Software afectado

Microsoft SharePoint Server 2013

Impacto

Elevación de privilegios

Gravedad

Importante

¿Divulgación pública?

No

¿Vulnerabilidades conocidas?

No

Evaluación de vulnerabilidad, más reciente:

3: vulnerabilidad poco probable

Evaluación de vulnerabilidad, heredada:

3: vulnerabilidad poco probable

Más detalles

https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8629

 

 

CVE-2017-11761

Vulnerabilidad de divulgación de información de Microsoft Exchange

Resumen ejecutivo

Existe un problema de saneamiento de entradas en Microsoft Exchange que podría posiblemente resultar en la divulgación no intencionada de información. Un atacante que aprovechara la vulnerabilidad con éxito podría identificar la existencia de direcciones RFC1918 en la red local desde un cliente en Internet. Un atacante podría usar esta información de host interno como parte de un ataque de mayor envergadura.

La actualización corrige la manera en que Exchange analiza los mensajes relacionados con el calendario.

Vectores de ataque

Para aprovechar la vulnerabilidad, un atacante podría incluir etiquetas especialmente diseñadas en los mensajes relacionados con el calendario enviados a un servidor Exchange. Estos mensajes especialmente etiquetados podrían solicitar al servidor Exchange que obtenga información de los servidores internos. Al observar la telemetría de estas solicitudes, un cliente podría obtener las propiedades de los hosts internos diseñados para estar ocultos de Internet.

Factores mitigadores

Microsoft no ha identificado ningún factor mitigador para esta vulnerabilidad.

Soluciones alternativas

Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.

Software afectado

Microsoft Exchange Server 2013 y Exchange Server 2016

Impacto

Divulgación de información

Gravedad

Importante

¿Divulgación pública?

No

¿Vulnerabilidades conocidas?

No

Evaluación de vulnerabilidad, más reciente:

3: vulnerabilidad poco probable

Evaluación de vulnerabilidad, heredada:

3: vulnerabilidad poco probable

Más detalles

https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-11761

 

Notificación adicional sobre actualizaciones de seguridad y avisos de seguridad nuevos y modificados

 

Para recibir notificaciones automáticas adicionales sobre actualizaciones de seguridad y avisos de seguridad nuevos y modificados, suscríbase a las notificaciones de seguridad técnicas de Microsoft en esta página web: https://technet.microsoft.com/es-es/security/dd252948.aspx.

 

Respecto a la coherencia de la información

 

Procuramos proporcionarle información precisa a través de contenido estático (este correo) y dinámico (basado en web). El contenido de seguridad de Microsoft publicado en la Web se actualiza con frecuencia para incluir la información más reciente. Si esto provoca incoherencias entre la información de aquí y la información del contenido de seguridad basado en web de Microsoft, la información autorizada es esta última.

 

Si tiene alguna pregunta respecto a esta alerta, póngase en contacto con su administrador técnico de cuentas (TAM) o director de prestación de servicios (SDM).

 


 

 Saludos!


 

Microsoft CSS Security Team