Boletines de Vulnerabilidades |
Actualización de seguridad acumulativa para Internet Explorer |
|
Clasificación de la vulnerabilidad |
|
| Propiedad | Valor |
| Nivel de Confianza | Oficial |
| Impacto | Obtener acceso |
| Dificultad | Experto |
| Requerimientos del atacante | Acceso remoto sin cuenta a un servicio estandar |
Información sobre el sistema |
|
| Propiedad | Valor |
| Fabricant afectat | Microsoft |
| Software afectado |
Internet Explorer 6 Service Pack 1 Internet Explorer 6 Service Pack 1 (64-Bit Edition) Internet Explorer 6 for Windows Server 20003 Internet Explorer 6 for Windows Server 2003 (64-Bit Edition) Internet Explorer 6 Internet Explorer 5.5 Service Pack 2 Internet Explorer 5.01 Service Pack 4 Internet Explorer 5.01 Service Pack 3 Internet Explorer 5.01 Service Pack 2 |
Descripción |
|
|
Microsoft ha publicado una actualización para distintas versiones de Internet Explorer. Este parche soluciona, entre otros, tres problemas de seguridad que se han descubierto recientemente. Por una parte, se ha solucionado un error del modelo de seguridad por dominios de Internet Explorer. Debido a este fallo, un atacante podía programar cierto código HTML que, al ser visitad por el usuario (dentro de un email o de una página web), daría al atacante acceso al sistema de la víctima, con los privilegios de ésta. Por otra parte, se ha parcheado un fallo relacionado con DHTML en Internet Explorer por el cual, al hacer click el usuario en un enlace, se podía grabar sin su consentimiento un fichero en cualquier zona del disco a la que tuviera acceso el usuario. Esta vulnerabilidad, al igual que la anterior, podía explotarse mediante código HTML al que la víctima debía acceder, bien a través de un email, bien visitando una página web. Por último se ha corregido una vulnerabilidad por la cual algunas URLs que utilizaran la sintaxis "usuario:password@dirección" podían no mostrarse completas en la barra de direcciones de Internet Explorer. De nuevo, la manera de explotar este fallo consiste en generar código HTML con enlaces de este tipo, y esperar que el usuario acceda a dicho código, insertándolo en un email o en una página web. |
|
Solución |
|
|
Microsoft ha ofrecido una serie de medidas para mitigar el efecto de vulnerabilidades como éstas. Configurar Internet Explorer para la que pregunte antes de ejecutar controles ActiveX en la zona Internet y en la zona Intranet Local. Leer sólo e-mails en texto plano si se está utilizando Outlook 2002, Outlook Express 6.0 SP1 o versiones posteriores. Actualización de software Internet Explorer 6 Internet Explorer 6 con Service Pack 1: http://www.microsoft.com/downloads/details.aspx?FamilyId=70530968-B59A-47C0-90D3-0C884910BC97 Internet Explorer 6 con Service Pack 1 (64-Bit Edition): http://www.microsoft.com/downloads/details.aspx?FamilyId=326EFFDA-8D86-4683-BC77-9BF410BC620D Internet Explorer 6 para Windows Server 2003: http://www.microsoft.com/downloads/details.aspx?FamilyId=D78AE4F7-8852-4A04-B8F6-1DE327E598F0 Internet Explorer 6 para Windows Server 2003 (64-Bit Edition): http://www.microsoft.com/downloads/details.aspx?FamilyId=6A7894F0-789F-4152-9AE4-8DCB43404149 Internet Explorer 6 sin Service Pack: http://www.microsoft.com/downloads/details.aspx?FamilyId=BE0C18BC-7F9A-4196-BFDE-29EBA8CF7A50 Internet Explorer 5.5 Internet Explorer 5.5 con Service Pack 2: http://www.microsoft.com/downloads/details.aspx?FamilyId=EFFE87F6-7ACA-4A54-B767-5597DDE95C6F Internet Explorer 5.01 Internet Explorer 5.01 con Service Pack 4: http://www.microsoft.com/downloads/details.aspx?FamilyId=F5E74139-6E0E-49FD-9AA2-36D2D8454A92 Internet Explorer 5.01 con Service Pack 3: http://www.microsoft.com/downloads/details.aspx?FamilyId=202D3AAC-6B56-4F4A-8C0F-4183C77B6B51 Internet Explorer 5.01 con Service Pack 2: http://www.microsoft.com/downloads/details.aspx?FamilyId=17904608-DCEE-4C99-A780-81D6DBC48DD5 Outlook 2000 SP1 o anteriores Outlook Email Security http://www.microsoft.com/office/outlook/evaluation/security.asp |
|
Identificadores estándar |
|
| Propiedad | Valor |
| CVE |
CAN-2003-1026 CAN-2003-1027 CAN-2003-1025 |
| BID | |
Recursos adicionales |
|
|
Microsoft Security Bulletin MS04-004 http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/Bulletin/MS04-004.asp |
|
Histórico de versiones |
||
| Versión | Comentario | Data |
| 1.0 | Aviso emitido | 2004-02-03 |