MS07-045 Actualización acumulativa para IE (937143)
Nivel de gravedad: Crítico
Impacto: Ejecución remota de código
Fecha de publicación: 14 de agosto de 2007
Software afectado por este parche:
- Internet Explorer 5.01
- Internet Explorer 6 Service Pack 1
- Internet Explorer 6
- Internet Explorer 7
- Microsoft Windows 2000 SP4
- Windows XP SP2
- Windows XP Professional x64 Edition
- Windows XP Professional x64 Edition SP2
- Windows Server 2003 SP1
- Windows Server 2003 SP2
- Windows Server 2003 x64 Edition
- Windows Server 2003 x64 Edition SP2
- Windows Server 2003 con SP1 para Itanium
- Windows Server 2003 con SP2 para Itanium
- Windows Vista
- Windows Vista x64 Edition
El software en esta lista se ha probado para determinar si es afectado. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no incluyen soporte de actualizaciones de parte de Microsoft.
Descripción:
Este parche corrige 3 vulnerabilidades que afectan a Internet Explorer.
Una de ellas permite la ejecución remota de código a un usuario remoto, debido a un problema al analizar determinadas cadenas en CSS u hojas de estilo en cascada, un método de formato para páginas web que usa HTML (no afecta a Internet Explorer 6 ni 7).
La segunda vulnerabilidad está relacionada con el componente TBLINF32.DLL (o VSTLBINF.DLL), encargados de determinados objetos ActiveX. Debido a que ninguno de los componentes fueron diseñados para ser compatibles con Internet Explorer, un atacante podría llegar a ejecutar código de forma remota mediante la visita a una página web comprometida.
Lo mismo puede ocurrir para el atacante que explote exitosamente la tercera vulnerabilidad corregida en esta actualización, la cuál también está relacionada con objetos ActiveX (PDWIZARD.OCX).
Un intruso que se aproveche de estas vulnerabilidades, podría conseguir los mismos privilegios que el usuario que ha iniciado sesión.
Mitigación:
Un atacante debe convencer a un usuario para que visite un sitio malicioso, seguramente mediante un enlace en un correo electrónico o de mensajería instantánea no solicitado.
Explotación:
Al momento actual no se conocen exploits.
Referencias CVE:
La vulnerabilidad corregida está relacionada con las siguientes referencias CVE:
CVE-2007-0943
CSS Memory Corruption Vulnerability
http://www.cve.mitre.org/cgi-bin/cve...=CVE-2007-0943
CVE-2007-2216
ActiveX Object Vulnerability
http://www.cve.mitre.org/cgi-bin/cve...=CVE-2007-2216
CVE-2007-3041
ActiveX Object Memory Corruption Vulnerability
http://www.cve.mitre.org/cgi-bin/cve...=CVE-2007-3041
CVE (Common Vulnerabilities and Exposures), es la lista de nombres estandarizados para vulnerabilidades y otras exposiciones de seguridad que han tomado estado público, la cuál es operada por cve.mitre.org, corporación patrocinada por el gobierno norteamericano.
Descargas:
Las actualizaciones pueden descargarse del siguiente enlace:
http://www.microsoft.com/technet/sec.../ms07-045.mspx
El parche también está disponible a través de las actualizaciones automáticas de Windows Update.
Nota:
Antes de instalar esta actualización, verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta.
Más información:
Microsoft Security Bulletin MS07-045
http://www.microsoft.com/technet/sec.../ms07-045.mspx
Microsoft Knowledge Base Article - 937143
http://support.microsoft.com/kb/937143/es
MS07-044 Vulnerabilidad en Microsoft Excel (940965)
Nivel de gravedad: Crítico
Impacto: Ejecución remota de código
Fecha de publicación: 14 de agosto de 2007
Software afectado por este parche:
- Microsoft Office 2000 SP3
- Microsoft Office XP SP3
- Microsoft Office 2003 SP2
- Microsoft Excel Viewer 2003
- Microsoft Office 2004 para Mac
El software en esta lista se ha probado para determinar si es afectado. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no incluyen soporte de actualizaciones de parte de Microsoft.
Descripción:
La actualización corrige una vulnerabilidad en Excel, que se produce al no realizar el programa una validación suficiente cuando indica el valor de índice de un espacio de trabajo.
Un atacante puede aprovechar esta vulnerabilidad para ejecutar código de forma remota, y tomar el control completo de un sistema afectado. De esta forma, un intruso podría instalar programas; ver, cambiar o eliminar datos; o crear nuevas cuentas nuevas con todos los privilegios.
Mitigación:
Un atacante debe convencer a un usuario para que abra un archivo de Excel especialmente diseñado de una versión afectada de Microsoft Excel.
Explotación:
Al momento actual no se conocen exploits.
Referencias CVE:
La vulnerabilidad corregida está relacionada con la siguiente referencia CVE:
CVE-2007-3890
Workspace Memory Corruption Vulnerability
http://www.cve.mitre.org/cgi-bin/cve...=CVE-2007-3890
CVE (Common Vulnerabilities and Exposures), es la lista de nombres estandarizados para vulnerabilidades y otras exposiciones de seguridad que han tomado estado público, la cuál es operada por cve.mitre.org, corporación patrocinada por el gobierno norteamericano.
Descargas:
Las actualizaciones pueden descargarse del siguiente enlace:
http://www.microsoft.com/technet/sec.../ms07-044.mspx
El parche también está disponible a través de las actualizaciones automáticas de Windows Update.
Nota:
Antes de instalar esta actualización, verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta.
Más información:
Microsoft Security Bulletin MS07-044
http://www.microsoft.com/technet/sec.../ms07-044.mspx
Microsoft Knowledge Base Article - 940965
http://support.microsoft.com/kb/940965/es
MS07-043 Vulnerabilidad crítica en OLE (921503)
Nivel de gravedad: Crítico
Impacto: Ejecución remota de código
Fecha de publicación: 14 de agosto de 2007
Software afectado por este parche:
- Microsoft Windows 2000 SP4
- Windows XP SP2
- Windows XP Professional x64 Edition
- Windows XP Professional x64 Edition SP2
- Windows Server 2003 SP1
- Windows Server 2003 SP2
- Windows Server 2003 x64 Edition
- Windows Server 2003 x64 Edition SP2
- Windows Server 2003 con SP1 para Itanium
- Windows Server 2003 con SP2 para Itanium
- Microsoft Office 2004 para Mac
- Microsoft Visual Basic 6.0 SP6 (KB924053)
Software NO afectado por este parche:
- Windows Vista
- Windows Vista x64 Edition
El software en esta lista se ha probado para determinar si es afectado. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no incluyen soporte de actualizaciones de parte de Microsoft.
Descripción:
La automatización OLE (vinculación e incrustación de objetos), es un protocolo de Windows que permite a una aplicación compartir datos o controlar otra aplicación.
Este parche corrige una vulnerabilidad que puede permitir a un atacante remoto la ejecución de código, con los mismos permisos del usuario que ha iniciado sesión.
El problema se debe a una corrupción de memoria al utilizarse determinadas secuencias de comandos.
Mitigación:
Un atacante debe convencer a un usuario para que visite un sitio malicioso, seguramente mediante un enlace en un correo electrónico o de mensajería instantánea no solicitado.
Explotación:
Al momento actual no se conocen exploits.
Referencias CVE:
La vulnerabilidad corregida está relacionada con la siguiente referencia CVE:
CVE-2007-2224
OLE Automation Memory Corruption Vulnerability
http://www.cve.mitre.org/cgi-bin/cve...=CVE-2007-2224
CVE (Common Vulnerabilities and Exposures), es la lista de nombres estandarizados para vulnerabilidades y otras exposiciones de seguridad que han tomado estado público, la cuál es operada por cve.mitre.org, corporación patrocinada por el gobierno norteamericano.
Descargas:
Las actualizaciones pueden descargarse del siguiente enlace:
http://www.microsoft.com/technet/sec.../ms07-043.mspx
El parche también está disponible a través de las actualizaciones automáticas de Windows Update.
Nota:
Antes de instalar esta actualización, verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta.
Más información:
Microsoft Security Bulletin MS07-043
http://www.microsoft.com/technet/sec.../ms07-043.mspx
Microsoft Knowledge Base Article - 921503
http://support.microsoft.com/kb/921503/es
MS07-042 Vulnerabilidad en MS XML Core (936227)
Nivel de gravedad: Crítico
Impacto: Ejecución remota de código
Fecha de publicación: 14 de agosto de 2007
Software afectado por este parche:
- XML Core Services 3.0 (Windows 2000 SP4)
- XML Core Services 3.0 (Windows XP SP2)
- XML Core Services 3.0 (XP Professional x64)
- XML Core Services 3.0 (XP Professional x64 SP2)
- XML Core Services 3.0 (Windows Server 2003 SP1)
- XML Core Services 3.0 (Windows Server 2003 SP2)
- XML Core Services 3.0 (Windows Server 2003 x64)
- XML Core Services 3.0 (Windows Server 2003 x64 SP2)
- XML Core Services 3.0 (Windows Server 2003 SP1 Itanium)
- XML Core Services 3.0 (Windows Server 2003 SP2 Itanium)
- XML Core Services 3.0 (Windows Vista)
- XML Core Services 3.0 (Windows Vista x64 Edition)
- XML Core Services 4.0 (Microsoft Windows 2000 SP4)
- XML Core Services 4.0 (Windows XP SP2)
- XML Core Services 4.0 (XP Professional x64)
- XML Core Services 4.0 (XP Professional x64 SP2)
- XML Core Services 4.0 (Windows Server 2003 SP1)
- XML Core Services 4.0 (Windows Server 2003 SP2)
- XML Core Services 4.0 (Windows Server 2003 x64)
- XML Core Services 4.0 (Windows Server 2003 x64 SP2)
- XML Core Services 4.0 (Windows Server 2003 SP1 Itanium)
- XML Core Services 4.0 (Windows Server 2003 SP2 Itanium)
- XML Core Services 4.0 (Windows Vista)
- XML Core Services 4.0 (Windows Vista x64 Edition)
- XML Core Services 6.0 (Microsoft Windows 2000 SP4)
- XML Core Services 6.0 (Windows XP SP2)
- XML Core Services 6.0 (Windows XP Professional x64)
- XML Core Services 6.0 (Windows XP Professional x64 SP2)
- XML Core Services 6.0 (Windows Server 2003 SP1)
- XML Core Services 6.0 (Windows Server 2003 SP2)
- XML Core Services 6.0 (Windows Server 2003 x64 Edition)
- XML Core Services 6.0 (Windows Server 2003 x64 Edition SP2)
- XML Core Services 6.0 (Windows Server 2003 SP1 Itanium)
- XML Core Services 6.0 (Windows Server 2003 SP2 Itanium)
- XML Core Services 6.0 (Windows Vista)
- XML Core Services 6.0 (Windows Vista x64 Edition)
- Office 2003 SP2 (Microsoft XML Core Services 5.0)
- 2007 Office System (Microsoft XML Core Services 5.0)
- Office Groove Server 2007 (Microsoft XML Core Services 5.0)
- Office SharePoint Server (Microsoft XML Core Services 5.0)
El software en esta lista se ha probado para determinar si es afectado. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no incluyen soporte de actualizaciones de parte de Microsoft.
Descripción:
Existe una vulnerabilidad en los servicios Microsoft XML Core (MSXML), que podría permitir a un atacante remoto ejecutar código arbitrario, con los mismos permisos del usuario que ha iniciado sesión.
El problema lo ocasiona una corrupción de memoria al manejarse determinados parámetros.
Microsoft XML Core Services (MSXML) permite a los clientes que usan JScript, Visual Basic Scripting Edition (VBScript) y Microsoft Visual Studio 6.0 desarrollar aplicaciones basadas en XML que proporcionan interoperabilidad con otras aplicaciones que cumplen el estándar XML 1.0.
Mitigación:
Un atacante debe convencer a un usuario para que visite un sitio malicioso, seguramente mediante un enlace en un correo electrónico no solicitado.
Explotación:
Al momento actual no se conocen exploits.
Referencias CVE:
La vulnerabilidad corregida está relacionada con la siguiente referencia CVE:
CVE-2007-2223
Microsoft XML Core Services Vulnerability
http://www.cve.mitre.org/cgi-bin/cve...=CVE-2007-2223
CVE (Common Vulnerabilities and Exposures), es la lista de nombres estandarizados para vulnerabilidades y otras exposiciones de seguridad que han tomado estado público, la cuál es operada por cve.mitre.org, corporación patrocinada por el gobierno norteamericano.
Descargas:
Las actualizaciones pueden descargarse del siguiente enlace:
http://www.microsoft.com/technet/sec.../ms07-042.mspx
El parche también está disponible a través de las actualizaciones automáticas de Windows Update.
Nota:
Antes de instalar esta actualización, verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta.
Más información:
Microsoft Security Bulletin MS07-042
http://www.microsoft.com/technet/sec.../ms07-042.mspx
Microsoft Knowledge Base Article - 936227
http://support.microsoft.com/kb/936227/es