| |
VSantivirus No. 777 - Año 6 - Sábado 24 de agosto de 2002
Nuevo parche acumulativo para Internet Explorer
http://www.vsantivirus.com/vulms02-047.htm
Por Redacción VSAntivirus
vsantivirus@videosoft.net.uy
Aviso de seguridad: Parche acumulativo para Internet Explorer
Nombre original: Cumulative Patch for IE (Q323759)
Fecha original: 22/ago/02
Aplicación vulnerable: Internet Explorer 5.x y 6.0
Severidad: Seis vulnerabilidades, algunas críticas
Riesgo: Ejecución de código en forma arbitraria
Referencia: Microsoft Security Bulletin MS02-047
Microsoft ha liberado un nuevo parche acumulativo para el Internet Explorer que soluciona seis vulnerabilidades.
El parche es acumulativo, de modo que al instalarlo, también se instalan todos los parches anteriores. A pesar de ello su tamaño es de
apenas un poco más de 2Mb.
Las versiones que actualiza son las siguientes:
- Internet Explorer 6.0 (2.41 MB)
- Internet Explorer 5.5 SP2 (2.17 MB)
- Internet Explorer 5.5 SP1 (2.48 MB)
- Internet Explorer 5.01 SP2 y SP3 para Win 2000 (1.89 MB)
Este parche resuelve la vulnerabilidad que afectaba al protocolo Gopher.
También corrige un desbordamiento de búfer en un control ActiveX que despliega textos en determinados formatos. Este desbordamiento permite que un atacante pueda ejecutar código malicioso en la computadora afectada.
La tercera de las fallas corregidas, está relacionada con la forma que el Internet Explorer maneja datos XML dentro de código HTML. Por diseño, las instrucciones existentes solo permiten desplegar datos XML desde el sitio Web. Sin embargo, una falla permite que no se chequee correctamente cuando el código XML hace referencia a un dominio diferente al original. Esto permite a un atacante abrir archivos XML en realidad residentes en sistemas remotos, diferentes a la página visitada, y ejecutarlos en forma local en la computadora atacada.
La cuarta vulnerabilidad está relacionada con la forma como el Internet Explorer representa el origen de un archivo en la caja de diálogo que se presenta al usuario al descargar uno. Esta falla habilita a un atacante para que engañe a su víctima obligándolo a descargar archivos de sitios no seguros, sin que este se percate de su verdadero origen.
La quinta es una falla al realizar una verificación cruzada de dominio, provocada por el mal uso de una etiqueta Object. El resultado habilita al operador de un sitio Web malicioso intercambiar datos desde su sitio en Internet y la propia computadora de la víctima, permitiendo el acceso y ejecución de archivos locales.
La última de las vulnerabilidades permite a un atacante crear una página Web maliciosa que al abrirse, se ejecute en la zona de seguridad local (la menos protegida y más vulnerable), eludiendo las restricciones de seguridad que dispone la zona de Internet.
Además de estas seis fallas, el parche provee cambios que aumentan la seguridad en determinados controles ActiveX, hasta ahora vulnerables a un mal uso en caso de no tomarse las precauciones debidas.
Más información:
http://www.microsoft.com/technet/security/bulletin/MS02-047.asp
Descarga de los parches:
http://www.microsoft.com/windows/ie/downloads/critical/q323759ie/default.asp
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
|
