|
|
MS07-034 Actualización para OE y Windows Mail (929123)
|
| |
VSantivirus No 2469 Año 11, miércoles 13 de junio de 2007
MS07-034 Actualización para OE y Windows Mail (929123)
http://www.vsantivirus.com/vulms07-034.htm
Nivel de gravedad: Crítico
Impacto: Ejecución remota de código
Fecha de publicación: 12 de junio de 2007
Software afectado por este parche:
- Windows Server 2003 Service Pack 1
- Windows Server 2003 Service Pack 2
- Windows Server 2003 SP1 para Itanium
- Windows Server 2003 SP2 para Itanium
- Windows Server 2003 x64 Edition
- Windows Server 2003 x64 Edition Service Pack 2
- Windows XP Professional x64 Edition
- Windows XP Professional x64 Edition Service Pack 2
- Windows XP Service Pack 2
- Windows Vista
- Windows Vista x64 Edition
Componentes afectados:
- Microsoft Outlook Express 6
- Windows Mail
Software NO afectado por este parche:
- Outlook Express 5.5 SP2 (Windows 2000 SP4)
- Outlook Express 6 SP1 (Windows 2000 SP4)
El software en esta lista se ha probado para determinar si es afectado. Otras versiones anteriores no mencionadas, podrían o no ser vulnerables, pero ya no incluyen soporte de actualizaciones de parte de Microsoft.
Descripción:
Esta actualización acumulativa para Outlook Express y Windows Mail (éste último sustituye a OE en Windows Vista), corrige al menos cuatro vulnerabilidades conocidas.
Dos de estas vulnerabilidades, pueden provocar la revelación de información, y se producen porque Windows interpreta incorrectamente una comunicación mediante el protocolo MHTML, o un encabezamiento HTTP malformado. El protocolo MHTML (encapsulación de extensiones multiuso de correo -MIME- en un solo HTML), es utilizado para enviar varios contenidos con formato web en el cuerpo de un mensaje de correo electrónico.
La tercera puede provocar una ejecución remota de código y afecta a Windows Mail solamente. Puede ser utilizada por un atacante mediante la manipulación de una ruta UNC en un correo electrónico. UNC (Convención de nomenclatura universal), se utiliza para indicar la ruta de acceso física a un archivo.
La última vulnerabilidad corregida, permite que un atacante eluda la ventana de diálogo desplegada durante la descarga de un archivo en el Internet Explorer, mediante la construcción de una página web maliciosa. El ataque puede provocarse mediante un correo electrónico malicioso. El problema también está relacionado con el protocolo MHTML.
Mitigación:
En algunos casos, el atacante debe convencer a un usuario a visitar un sitio web malicioso, o a hacer clic en un enlace enviado en un correo electrónico no solicitado.
Para otras de las vulnerabilidades, no se conocen mitigaciones que impidan un ataque exitoso.
Explotación:
No se conocen exploits para ninguna de estas vulnerabilidades al momento de esta actualización.
Referencias CVE:
Las vulnerabilidades corregidas están relacionadas con las siguientes referencias CVE:
CVE-2006-2111
URL Redirect Cross Domain Information Disclosure Vulnerability
www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-2111
CVE-2007-1658
Windows Mail UNC Navigation Request Remote Code Execution Vulnerability
www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1658
CVE-2007-2225
URL Parsing Cross Domain Information Disclosure Vulnerability
www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2225
CVE-2007-2227
Content Disposition Parsing Cross Domain Information Disclosure Vulnerability
www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2227
CVE (Common Vulnerabilities and Exposures), es la lista de nombres estandarizados para vulnerabilidades y otras exposiciones de seguridad que han tomado estado público, la cuál es operada por cve.mitre.org, corporación patrocinada por el gobierno norteamericano.
Reemplazos:
Este parche reemplaza a los siguientes:
MS06-016 Actualización acumulativa para OE (911567)
http://www.vsantivirus.com/vulms06-016.htm
MS06-043 Vulnerabilidad crítica en OE (920214)
http://www.vsantivirus.com/vulms06-043.htm
MS06-076 Actualización para Outlook Express (923694)
http://www.vsantivirus.com/vulms06-076.htm
Descargas:
Las actualizaciones pueden descargarse del siguiente enlace:
www.microsoft.com/technet/security/bulletin/ms07-034.mspx
El parche también está disponible a través de las actualizaciones automáticas de Windows Update.
Nota:
Antes de instalar esta actualización, verifique que el software que se menciona tenga instalado los Service Pack a los que se hace referencia. En caso contrario la aplicación puede fallar o ejecutarse de manera incorrecta.
Más información:
Microsoft Security Bulletin MS07-034
www.microsoft.com/technet/security/bulletin/ms07-034.mspx
Microsoft Knowledge Base Article - 929123
http://support.microsoft.com/kb/929123/es
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
 
|
|
