MS04-009 Ejecución de código en Outlook 2002 (828040)

MS04-009 Ejecución de código en Outlook 2002 (828040)
	VSantivirus No. 1342 Año 8, miércoles 10 de marzo de 2004 MS04-009 Ejecución de código en Outlook 2002 (828040) http://www.vsantivirus.com/vulms04-009.htm Por Redacción VSAntivirus vsantivirus@videosoft.net.uy Una vulnerabilidad en Outlook 2002, puede permitir la ejecución remota de código en la zona de seguridad local. Esto afecta a usuarios de Microsoft Office XP y Outlook 2002. Outlook 2002 está disponible como un producto separado, además de ser incluido como parte de Office XP. Nivel de gravedad: Crítico Impacto: Ejecución remota de código Fecha revisión: 9 de marzo de 2004 Actualizado: 10 de marzo de 2004 Software afectado: Microsoft Office XP Service Pack 2 Microsoft Outlook 2002 Service Pack 2 Software no afectado: Microsoft Office 2000 Service Pack 3 Microsoft Office XP Service Pack 3 Microsoft Office 2003 Microsoft Outlook 2000 Service Pack 3 Microsoft Outlook 2002 Service Pack 3 Microsoft Outlook 2003 Estas versiones fueron testeadas y no son vulnerables. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no son soportadas por Microsoft. Descripción Una vulnerabilidad en Outlook 2002, puede permitir que el Internet Explorer ejecute un script en la zona de seguridad local del sistema afectado. El fallo se produce al intentar interpretar un URL "mailto:" maliciosamente construido. Para aprovecharse de esta vulnerabilidad, un atacante puede crear una página web diseñada para explotar este fallo. También puede enviar un correo electrónico con formato HTML conteniendo un "mailto:" modificado. Un vínculo "mailto:" es un tipo especial de URL, que permite el envío de un mensaje electrónico. Solo es necesario que el usuario visualice la página mencionada, o lea el mensaje malicioso, para que el exploit actúe, y el atacante pueda acceder a archivos del sistema vulnerable, o ejecutar código en la zona de seguridad local, con los mismos privilegios del actual usuario. Luego de la liberación de este boletín, Microsoft determinó que ésta vulnerabilidad podría afectar también a aquellos usuarios que no tienen "Outlook para hoy" como página inicial de carpeta predeterminada en Outlook 2002. En un primer momento, se había publicado que el fallo solo se producía cuando Outlook mostraba dicha página, creada por defecto al finalizar su instalación. Pero se tienen elementos que indican que usuarios maliciosos han creado un exploit que funciona sin dicha restricción. Como resultado, se cambia el nivel de gravedad de "Importante" a "Crítico". Note que el parche no ha sido modificado, de modo que si usted ya instaló el mismo, no deberá hacer nada más, y ya se encuentra protegido. También lo están quienes han instalado el nuevo Service Pack 3 de Office XP. Rating de Severidad: Microsoft Office XP (Crítico) Microsoft Outlook 2002 (Crítico) Parches: Los parches pueden descargarse del siguiente enlace: Outlook 2002 Security Patch: KB828040 http://www.microsoft.com/office/ork/2003/tools/locddl/default.htm#Spanish Requisitos del sistema Se requiere Office XP Service Pack 2 (el nuevo SP3 ya incluye el parche). Nota: Antes de instalar este parche por favor verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta. Más información: Microsoft Security Bulletin MS04-009 www.microsoft.com/technet/security/bulletin/ms04-009.mspx Microsoft Knowledge Base Article - 828040 http://support.microsoft.com/?kbid=828040 Actualizaciones: 13/mar/04 - Cambio de nivel de "Importantre" a "Crítico" (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com