- Microsoft Windows 2000 SP2, SP3, SP4
- Microsoft Windows XP
- Microsoft Windows XP SP1
- Microsoft Windows XP 64-Bit Edition SP1
- Microsoft Windows XP 64-Bit Edition Version 2003
- Microsoft Windows Server 2003
- Microsoft Windows Server 2003 64-Bit Edition
- Microsoft Windows 98 (Ver Nota)
- Microsoft Windows 98 Second Edition (SE) (Ver Nota)
- Microsoft Windows Millennium Edition (Me) (Ver Nota)

Software NO afectado:

- Microsoft Windows NT Workstation 4.0 SP6a
- Microsoft Windows NT Server 4.0 SP6a
- Microsoft Windows NT Server 4.0 Terminal Server Edition SP6

Componentes afectados:

- Internet Explorer 6.0 SP1 cuando se instala en Windows NT 4.0 SP6a (Workstation, Server, o Terminal Server Edition)

Windows NT Workstation 4.0, Windows NT Server 4.0 y Windows NT 4.0 Terminal Server Edition, no son afectados por defecto. Sin embargo, si se instala Internet Explorer 5.5 SP2 o Internet Explorer 6.0 SP1, el sistema será vulnerable.

Nota:

Sobre Windows 98, 98 Segunda Edición, y Windows Millennium

Debido a la política de soporte para estas versiones del sistema operativo Windows (ver "Ciclo de vida del soporte técnico de Microsoft", http://support.microsoft.com/default.aspx?scid=fh;ES-ES;lifecycle), Microsoft sólo libera actualizaciones de seguridad que sean consideradas críticas, y por lo tanto, aunque la vulnerabilidad afecta a estos sistemas operativos, no existe un parche para ellos.

Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no son soportadas por Microsoft.

Descripción

Esta actualización resuelve dos nuevas vulnerabilidades recientemente descubiertas. La vulnerabilidad en el componente HTML de la Ayuda de Windows ha sido reportada privadamente, mientras que la vulnerabilidad "showHelp" es de conocimiento público.

La vulnerabilidad "showHelp", permite la ejecución de código malicioso en la zona Local de seguridad (Mi PC), en el Internet Explorer, y puede ser explotada mediante una página HTML modificada maliciosamente. El atacante tendría que persuadir a la víctima para que visite el sitio web, típicamente haciendo clic en un enlace. Aún así, el ataque sólo podrá ocurrir si el usuario realiza otras acciones.

La vulnerabilidad en la ayuda HTML también puede ser explotada desde una página Web maliciosa, pero no es necesario más que un clic del usuario para que un ataque sea exitoso.

Si el usuario activo posee privilegios de administrador, un atacante podría aprovechar estas vulnerabilidades para tomar el control completo del sistema infectado, con la posibilidad de instalar programas; ver, cambiar o borrar datos; o crear nuevas cuentas asignándoles privilegios totales a las mismas.

Si el usuario actual no posee privilegios de administrador, los riesgos se reducen.

Parches:

Los parches pueden descargarse de los siguientes enlaces:

Actualización de seguridad para Windows 2000 (KB840315)
http://www.microsoft.com/downloads/details.aspx?FamilyId=
3F2F1A7D-5CF2-4791-A7EE-07F20F75796C&displaylang=es

Actualización de seguridad para Windows XP (KB840315)
http://www.microsoft.com/downloads/details.aspx?FamilyId=
8B412C7F-44AD-4E77-8973-FD3E84CC496A&displaylang=es

Actualización de seguridad para Windows Server 2003 (KB840315)
http://www.microsoft.com/downloads/details.aspx?FamilyId=
8B53C35D-E9ED-46AD-936C-30C8E3A7E606&displaylang=es

Nota:

Antes de instalar estos parches verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta.

Más información:

Microsoft Security Bulletin MS04-023
www.microsoft.com/technet/security/bulletin/ms04-023.mspx

Microsoft Knowledge Base Article - 840315
http://support.microsoft.com/?kbid=840315




(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com