|
|
MS07-026 Vulnerabilidad en MS Exchange (931832)
|
| |
VSantivirus No 2441 Año 11, miércoles 9 de mayo de 2007
MS07-026 Vulnerabilidad en MS Exchange (931832)
http://www.vsantivirus.com/vulms07-026.htm
Nivel de gravedad: Crítico
Impacto: Ejecución remota de código
Fecha de publicación: 8 de mayo de 2007
Software afectado por este parche:
- MS Exchange 2000 Server SP3 con Exchange 2000 Post-SP3
- MS Exchange Server 2003 Service Pack 1
- MS Exchange Server 2003 Service Pack 2
- MS Exchange Server 2007
El software en esta lista se ha probado para determinar si es afectado. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no incluyen soporte de actualizaciones de parte de Microsoft.
Descripción:
Esta actualización corrige varias vulnerabilidades en Microsoft Exchange que podrían permitir la ejecución remota de código.
Ellas son una inyección de script que puede permitir a un atacante monitorear la sesión Web del usuario y enviar la información obtenida a un tercer usuario, ejecutar código con los privilegios del usuario actual y leer o escribir las cookies del usuario.
Otra vulnerabilidad producida en el iCal o calendario de Internet utilizado para enviar e intercambiar información relacionada con agendas y tareas programadas, puede provocar una denegación de servicio haciendo que el servicio de correo deje de responder hasta que el servidor sea reiniciado.
Una tercera vulnerabilidad permite la ejecución de código con los mismos privilegios del usuario y se produce por un manejo erróneo de ciertas propiedades MIME al manejar contenido codificado en base64 (permite la representación de octetos de cualquier valor ASCII, de modo que puedan transmitirse en un correo electrónico, sin las limitaciones que este posee).
Finalmente, una cuarta vulnerabilidad permite que el servicio de correo deje de responder debido a un incorrecto manejo de ciertos comandos en el servicio IMAP (Interactive Mail Access Protocol), un protocolo que permite la manipulación de los mensajes y la gestión de carpetas, búsquedas, etc. Se requiere el reinicio del servidor para que el programa vuelva a la normalidad.
Mitigación:
No se conocen mitigaciones para la mayoría de estas vulnerabilidades.
Explotación:
No se conocen exploits.
Referencias CVE:
Las vulnerabilidades corregidas están relacionadas con las siguientes referencias CVE:
CVE-2007-0220
Outlook Web Access Script Injection Vulnerability
www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0220
CVE-2007-0039
Malformed iCal Vulnerability
www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0039
CVE-2007-0213
MIME Decoding Vulnerability
www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0213
CVE-2007-0221
IMAP Literal Processing Vulnerability
www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0221
CVE (Common Vulnerabilities and Exposures), es la lista de nombres estandarizados para vulnerabilidades y otras exposiciones de seguridad que han tomado estado público, la cuál es operada por cve.mitre.org, corporación patrocinada por el gobierno norteamericano.
Reemplazos:
Este parche reemplaza los siguientes:
MS06-019 Vulnerabilidad en Microsoft Exchange (916803)
http://www.vsantivirus.com/vulms06-019.htm
MS06-029 Inyección de scripts en MS Exchange (912442)
http://www.vsantivirus.com/vulms06-029.htm
Descargas:
Las actualizaciones pueden descargarse del siguiente enlace:
www.microsoft.com/technet/security/bulletin/ms07-026.mspx
El parche también está disponible a través de las actualizaciones automáticas de Windows Update.
Nota:
Antes de instalar esta actualización, verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta.
Más información:
Microsoft Security Bulletin MS07-026
www.microsoft.com/technet/security/bulletin/ms07-026.mspx
Microsoft Knowledge Base Article - 931832
http://support.microsoft.com/kb/931832/es
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
 
|
|
