Dentro del conjunto de boletines de seguridad de noviembre publicado el pasado martes por Microsoft y del que ya efectuamos un resumen, se cuenta el anuncio (en el boletín MS08-069) de una actualización crítica para evitar tres vulnerabilidades en Microsoft XML Core Services, que podrían permitir a un atacante remoto ejecutar código arbitrario, o revelar información sensible, si el usuario visualiza un email, o abre con Internet Explorer una página web especialmente manipulada.
HISPASEC.COM
La primera vulnerabilidad está causada por una corrupción de memoria provocada por un error en la forma en la que Microsoft XML Core Services procesa contenido XML. El error podría ser aprovechado por un atacante remoto para ejecutar código arbitrario si el usuario visualiza un email o página web especialmente manipulada. Si el usuario abriese el archivo con permisos de administrador, el atacante tomaría completo control del sistema.
La segunda vulnerabilidad está causada porque MSXML maneja de forma incorrecta la comprobación de errores de DTDs externas, lo que permitiría la realización de ataques de cross-domain scripting. El error podría ser aprovechado por un atacante remoto para revelar información sensible de una página web perteneciente a otros dominios en Internet Explorer.
Por último, la tercera vulnerabilidad corregida está causada porque MSXML permite que los valores de ciertos campos de peticiones HTTP sean establecidos por el cliente, esto provoca la corrupción del estado de la sesión. El error podría ser aprovechado por un atacante remoto para revelar información sensible si el usuario visualiza un email o página web especialmente manipulada.
Este parche sustituye al parche anterior (MS07-042) en la mayoría de los sistemas afectados, que son Windows 2000, Windows XP, Windows Server 2003 y 2008, Windows Vista y Microsoft Office.
Se recomienda actualizar los sistemas afectados mediante Windows Update o descargando los parches según versión desde la dirección del boletín de Microsoft:
www.microsoft.com/spain/technet/security/Bulletin/MS08-069.mspx
No hay comentarios:
Publicar un comentario