Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
 

Busque su tema:

VSantivirus  Internet
Proporcionado por FreeFind

Video Soft BBS
Menú Principal
Anti Trojans
Antivirus
Hoaxes
Subscripciones
Otro software
Artículos
Links
Sugerencias
Sobre el BBS
Direcciones
Galería
Chat

Controlado desde el
19/10/97 por NedStat

MS04-009 Ejecución de código en Outlook 2002 (828040)
 
VSantivirus No. 1342 Año 8, miércoles 10 de marzo de 2004

MS04-009 Ejecución de código en Outlook 2002 (828040)
http://www.vsantivirus.com/vulms04-009.htm

Por Redacción VSAntivirus
vsantivirus@videosoft.net.uy


Una vulnerabilidad en Outlook 2002, puede permitir la ejecución remota de código en la zona de seguridad local. Esto afecta a usuarios de Microsoft Office XP y Outlook 2002. Outlook 2002 está disponible como un producto separado, además de ser incluido como parte de Office XP.

Nivel de gravedad: Crítico
Impacto: Ejecución remota de código
Fecha revisión: 9 de marzo de 2004
Actualizado: 10 de marzo de 2004

Software afectado:

Microsoft Office XP Service Pack 2
Microsoft Outlook 2002 Service Pack 2

Software no afectado:

Microsoft Office 2000 Service Pack 3
Microsoft Office XP Service Pack 3
Microsoft Office 2003
Microsoft Outlook 2000 Service Pack 3
Microsoft Outlook 2002 Service Pack 3
Microsoft Outlook 2003

Estas versiones fueron testeadas y no son vulnerables. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no son soportadas por Microsoft.

Descripción

Una vulnerabilidad en Outlook 2002, puede permitir que el Internet Explorer ejecute un script en la zona de seguridad local del sistema afectado. El fallo se produce al intentar interpretar un URL "mailto:" maliciosamente construido. Para aprovecharse de esta vulnerabilidad, un atacante puede crear una página web diseñada para explotar este fallo. También puede enviar un correo electrónico con formato HTML conteniendo un "mailto:" modificado.

Un vínculo "mailto:" es un tipo especial de URL, que permite el envío de un mensaje electrónico.

Solo es necesario que el usuario visualice la página mencionada, o lea el mensaje malicioso, para que el exploit actúe, y el atacante pueda acceder a archivos del sistema vulnerable, o ejecutar código en la zona de seguridad local, con los mismos privilegios del actual usuario.

Luego de la liberación de este boletín, Microsoft determinó que ésta vulnerabilidad podría afectar también a aquellos usuarios que no tienen "Outlook para hoy" como página inicial de carpeta predeterminada en Outlook 2002. En un primer momento, se había publicado que el fallo solo se producía cuando Outlook mostraba dicha página, creada por defecto al finalizar su instalación. Pero se tienen elementos que indican que usuarios maliciosos han creado un exploit que funciona sin dicha restricción. Como resultado, se cambia el nivel de gravedad de "Importante" a "Crítico".

Note que el parche no ha sido modificado, de modo que si usted ya instaló el mismo, no deberá hacer nada más, y ya se encuentra protegido. También lo están quienes han instalado el nuevo Service Pack 3 de Office XP.


Rating de Severidad:

Microsoft Office XP (Crítico)
Microsoft Outlook 2002 (Crítico)

Parches:

Los parches pueden descargarse del siguiente enlace:

Outlook 2002 Security Patch: KB828040
http://www.microsoft.com/office/ork/2003/tools/locddl/default.htm#Spanish

Requisitos del sistema

Se requiere Office XP Service Pack 2 (el nuevo SP3 ya incluye el parche).

Nota:

Antes de instalar este parche por favor verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta.

Más información:

Microsoft Security Bulletin MS04-009
www.microsoft.com/technet/security/bulletin/ms04-009.mspx

Microsoft Knowledge Base Article - 828040
http://support.microsoft.com/?kbid=828040


Actualizaciones:

13/mar/04 - Cambio de nivel de "Importantre" a "Crítico"



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com

 

Copyright 1996-2004 Video Soft BBS