Nuevo acumulativo para Internet Explorer (MS03-020)

VSantivirus No. 1063 Año 7, Jueves 5 de junio de 2003

Nuevo acumulativo para Internet Explorer (MS03-020)
http://www.vsantivirus.com/vulms03-020.htm

Por Redacción VSAntivirus
vsantivirus@videosoft.net.uy

Un nuevo parche ha sido liberado por Microsoft, el cuál soluciona dos nuevas vulnerabilidades recientemente descubiertas y consideradas críticas, ya que cualquiera de ellas permitiría a un atacante tomar el control del sistema vulnerable.

El parche es acumulativo y contiene todos los anteriores para las versiones 5.01, 5.5, y 6.0 del Internet Explorer.

El primer fallo se produce por un desbordamiento de búfer y afecta a todas las versiones del Internet Explorer (5.01, 5.5 y 6.0 inclusive para Windows Server 2003). Se produce al no poderse determinar adecuadamente cierto tipo de objeto retornado por el servidor Web ante determinada solicitud. Un atacante puede usar esta vulnerabilidad para ejecutar cualquier software de su elección en el sistema vulnerable. Para explotarlo es suficiente abrir un sitio Web con una página HTML maliciosamente construida, o a través de la visualización de un correo electrónico con formato HTML modificado con las mismas condiciones.

Es de hacer notar que para aprovecharse de la falla, no es necesario que la víctima utilice el Internet Explorer como su navegador; es suficiente conque éste se encuentre instalado en el sistema para que éste último sea vulnerable.

La segunda de las fallas se debe a que el Internet Explorer no bloquea adecuadamente las limitaciones para la descarga de archivos al mostrar la correspondiente ventana de diálogo. Esto puede hacer que al recibirse determinada cantidad de solicitudes, aún cuando se lo niegue en la correspondiente ventana, se descargue y ejecute cualquier archivo.

El boletín advierte que es necesario instalar la actualización para la ayuda HTML como se indica en el artículo 811630 en la base de conocimiento (ver http://support.microsoft.com/default.aspx?scid=kb;en-us;811630). Si no se actualiza, luego de la aplicación del parche actualizado, no se dispondrán o no funcionarán correctamente algunas funcionalidades de la ayuda HTML.

Para instalar este parche se requiere al menos lo siguiente:

IE 5.01 para Windows 2000 con Service Pack 3
IE 5.5 con Service Pack 2 instalado
IE 6.0, IE 6.0 Gold o Service Pack 1

Esta actualización será incorporada en el próximo Service Pack 2 para Windows XP y Service Pack 1 para Windows Server 2003.

El parche sustituye al anterior (ver boletín MS03-015).

Más información:

http://www.microsoft.com/technet/security/bulletin/MS03-020.asp
http://www.microsoft.com/security/security_bulletins/ms03-020.asp

HTML Help Update to Limit Functionality When
It Is Invoked with the window.showHelp( ) Method
http://support.microsoft.com/default.aspx?scid=kb;en-us;811630

IMPORTANTE

Actualizaciones:

04/oct/03 - Este parche ha sido sustituido por un nuevo parche acumulativo:

MS03-040 Actualización acumulativa para IE (828750)
http://www.vsantivirus.com/vulms03-040.htm

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com