Boletines de Vulnerabilidades

Soporte de vulnerabilidades

Servicio de soporte de vulnerabilidades Análisis, notificación y seguimiento de aquellas vulnerabilidades más críticas, que impactan especialmente en las tecnologías empleadas en el sector público. El CCN-CERT trabajará en la recopilación y clasificación de las nuevas vulnerabilidades, realizando un análisis teórico y en laboratorio, cuando sea posible, de aquellas que por su criticidad lo requieran.

Se generarán documentos informativos o “abstracts” de dichas vulnerabilidades y se llevará a cabo un seguimiento de la evolución de la vulnerabilidad en Internet, alertando a los organismos ante cambios en la criticidad, aparición de parches, nuevas recomendaciones, constancia de explotaciones activas, etc.

Para inscribirse en este servicio o recibir más información, escribir al correo electrónico: soporte_acreditacion@ccn.cni.es

Abstracts:

Zero Day Exchange Server: HAFNIUM
Alertas relacionadas:

01 - Vulnerabilidades zero-day en Microsoft Exchange (03/03/2021)

Uso de Cisco Webex, sus implicaciones para la seguridad y privacidad. Recomendaciones y buenas prácticas / English version
Análisis de la vulnerabilidad en iOS MAIL. Recomendaciones y buenas prácticas
Avisos relacionados:

01 - Vulnerabilidades Zero-Day en iOS (24/04/2020)
02 - Análisis de la vulnerabilidad en iOS Mail. Recomendaciones y buenas prácticas (30/04/2020)
03 - Publicada la versión iOS 13.5 que corrige la vulnerabilidad Zero-Day de iOSMail (22/05/2020)
04 - Apple y Google desarrollan una API para rastrear contactos de riesgo en relación con la COVID-19 (01/06/2020)

Boletines de Vulnerabilidades

Actualización de seguridad acumulativa para Internet Explorer
Clasificación de la vulnerabilidad
Propiedad	Valor
Nivel de Confianza	Oficial
Impacto	Obtener acceso
Dificultad	Experto
Requerimientos del atacante	Acceso remoto sin cuenta a un servicio estandar
Información sobre el sistema
Propiedad	Valor
Fabricant afectat	Microsoft
Software afectado	Internet Explorer 6 Service Pack 1 Internet Explorer 6 Service Pack 1 (64-Bit Edition) Internet Explorer 6 for Windows Server 20003 Internet Explorer 6 for Windows Server 2003 (64-Bit Edition) Internet Explorer 6 Internet Explorer 5.5 Service Pack 2 Internet Explorer 5.01 Service Pack 4 Internet Explorer 5.01 Service Pack 3 Internet Explorer 5.01 Service Pack 2
Descripción
Microsoft ha publicado una actualización para distintas versiones de Internet Explorer. Este parche soluciona, entre otros, tres problemas de seguridad que se han descubierto recientemente. Por una parte, se ha solucionado un error del modelo de seguridad por dominios de Internet Explorer. Debido a este fallo, un atacante podía programar cierto código HTML que, al ser visitad por el usuario (dentro de un email o de una página web), daría al atacante acceso al sistema de la víctima, con los privilegios de ésta. Por otra parte, se ha parcheado un fallo relacionado con DHTML en Internet Explorer por el cual, al hacer click el usuario en un enlace, se podía grabar sin su consentimiento un fichero en cualquier zona del disco a la que tuviera acceso el usuario. Esta vulnerabilidad, al igual que la anterior, podía explotarse mediante código HTML al que la víctima debía acceder, bien a través de un email, bien visitando una página web. Por último se ha corregido una vulnerabilidad por la cual algunas URLs que utilizaran la sintaxis "usuario:password@dirección" podían no mostrarse completas en la barra de direcciones de Internet Explorer. De nuevo, la manera de explotar este fallo consiste en generar código HTML con enlaces de este tipo, y esperar que el usuario acceda a dicho código, insertándolo en un email o en una página web.
Solución
Microsoft ha ofrecido una serie de medidas para mitigar el efecto de vulnerabilidades como éstas. Configurar Internet Explorer para la que pregunte antes de ejecutar controles ActiveX en la zona Internet y en la zona Intranet Local. Leer sólo e-mails en texto plano si se está utilizando Outlook 2002, Outlook Express 6.0 SP1 o versiones posteriores. Actualización de software Internet Explorer 6 Internet Explorer 6 con Service Pack 1: http://www.microsoft.com/downloads/details.aspx?FamilyId=70530968-B59A-47C0-90D3-0C884910BC97 Internet Explorer 6 con Service Pack 1 (64-Bit Edition): http://www.microsoft.com/downloads/details.aspx?FamilyId=326EFFDA-8D86-4683-BC77-9BF410BC620D Internet Explorer 6 para Windows Server 2003: http://www.microsoft.com/downloads/details.aspx?FamilyId=D78AE4F7-8852-4A04-B8F6-1DE327E598F0 Internet Explorer 6 para Windows Server 2003 (64-Bit Edition): http://www.microsoft.com/downloads/details.aspx?FamilyId=6A7894F0-789F-4152-9AE4-8DCB43404149 Internet Explorer 6 sin Service Pack: http://www.microsoft.com/downloads/details.aspx?FamilyId=BE0C18BC-7F9A-4196-BFDE-29EBA8CF7A50 Internet Explorer 5.5 Internet Explorer 5.5 con Service Pack 2: http://www.microsoft.com/downloads/details.aspx?FamilyId=EFFE87F6-7ACA-4A54-B767-5597DDE95C6F Internet Explorer 5.01 Internet Explorer 5.01 con Service Pack 4: http://www.microsoft.com/downloads/details.aspx?FamilyId=F5E74139-6E0E-49FD-9AA2-36D2D8454A92 Internet Explorer 5.01 con Service Pack 3: http://www.microsoft.com/downloads/details.aspx?FamilyId=202D3AAC-6B56-4F4A-8C0F-4183C77B6B51 Internet Explorer 5.01 con Service Pack 2: http://www.microsoft.com/downloads/details.aspx?FamilyId=17904608-DCEE-4C99-A780-81D6DBC48DD5 Outlook 2000 SP1 o anteriores Outlook Email Security http://www.microsoft.com/office/outlook/evaluation/security.asp
Identificadores estándar
Propiedad	Valor
CVE	CAN-2003-1026 CAN-2003-1027 CAN-2003-1025
BID	NULL
Recursos adicionales
Microsoft Security Bulletin MS04-004 http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/Bulletin/MS04-004.asp