Los boletines “críticos” son:

• MS11-087: Se trata de una actualización destinada a solucionar una vulnerabilidad de ejecución remota de código arbitrario si un usuario abre un documento especialmente diseñado o visita una página web maliciosa que inserta archivos de fuentes TrueType. Esta actualización es de gran importancia debido a que viene a corregir el problema del que se aprovecha Duqu (el troyano del que tanto se ha hablado en los últimos meses). Afecta a Microsoft Windows XP, Server 2003, Vista, Windows 7 y Windows Server 2008.
• MS11-090: Actualización de seguridad acumulativa de bits de interrupción de ActiveX contiene nuevos bits de interrupción y todos los bits de interrupción publicados anteriormente. Afecta a Microsoft Windows XP, Server 2003, Vista, Windows 7 y Windows Server 2008.
• MS11-092: Actualización que soluciona una vulnerabilidad de ejecución remota de código arbitrario en el Reproductor de Windows Media y Windows Media Center, a través de un archivo de grabación de vídeo digital de Microsoft (.dvr-ms) específicamente creado.

Los boletines clasificados como “importantes” son:

• MS11-088: Actualización para solucionar una vulnerabilidad en Microsoft Office IME (chino).
• MS11-089: Trata de una vulnerabilidad en Microsoft Office, que podría permitir la ejecución remota de código si un usuario abre un archivo de Word especialmente creado. Afecta a Microsoft Office 2007, 2010 y Office para Mac 2011.
• MS11-091: Boletín destinado a corregir tres vulnerabilidades en Microsoft Office, que podría permitir la ejecución remota de código arbitrario si un usuario abre un archivo de Publisher específicamente diseñado. Afecta a Microsoft Office 2007 y 2010.
• MS11-093: Actualización para corregir una vulnerabilidad en OLE podría permitir la ejecución remota de código. Afecta a Windows XP y Windows Server 2003.
• MS11-094: Boletín destinado a corregir dos vulnerabilidades en Microsoft Office, que podría permitir la ejecución remota de código arbitrario si un usuario abre un archivo de PowerPoint específicamente diseñado. Afecta a Microsoft Office 2007, 2010 y Microsoft Office 2008 para Mac.
• MS11-095: Actualización para corregir una vulnerabilidad de ejecución remota de código en Active Directory, Active Directory Application Mode (ADAM) y en el servicio de directorio ligero de Active Directory (AD LDS).
• MS11-096: Actualización para corregir una vulnerabilidad en Microsoft Office, que podría permitir la ejecución remota de código arbitrario si un usuario abre un archivo de Excel específicamente manipulado. Afecta a Microsoft Office 2003 y Microsoft Office 2004 para Mac.
• MS11-097 Actualización para corregir una vulnerabilidad de elevación de privilegios en el subsistema de tiempo de ejecución de cliente-servidor de Windows. Afecta a Microsoft Windows XP, Server 2003, Vista, Windows 7 y Windows Server 2008.
• MS11-098: Actualización para corregir una vulnerabilidad de elevación de privilegios en el kernel de Windows. Afecta a Windows XP, Server 2003, Vista, Windows 7 y Windows Server 2008.
• MS11-099: Actualización acumulativa para Microsoft Internet Explorer que además soluciona tres nuevas vulnerabilidades que podrían permitir la ejecución remota de código arbitrario. Afecta a Internet Explorer 6, 7, 8 y 9.

Las actualizaciones publicadas pueden descargarse a través de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualización de los sistemas con la mayor brevedad posible.

Más información:

Resumen del boletín de seguridad de Microsoft de diciembre 2011
http://technet.microsoft.com/es-es/security/bulletin/ms11-dec

Boletín de seguridad de Microsoft MS11-087 – Crítica
Una vulnerabilidad en los controladores en modo kernel de Windows podría permitir la ejecución remota de código (2639417)
http://technet.microsoft.com/es-es/security/bulletin/ms11-087

Boletín de seguridad de Microsoft MS11-088 – Importante
Una vulnerabilidad en Microsoft Office IME (chino) podría permitir la elevación de privilegios (2652016)
http://technet.microsoft.com/es-es/security/bulletin/ms11-088

Boletín de seguridad de Microsoft MS11-089 – Importante
Una vulnerabilidad en Microsoft Office podría permitir la ejecución remota de código (2590602)
http://technet.microsoft.com/es-es/security/bulletin/ms11-089

Boletín de seguridad de Microsoft MS11-090 – Crítica
Actualización de seguridad acumulativa de bits de interrupción de ActiveX (2618451)
http://technet.microsoft.com/es-es/security/bulletin/ms11-090

Boletín de seguridad de Microsoft MS11-091 – Importante
Vulnerabilidades en Microsoft Publisher podrían permitir la ejecución remota de código (2607702)
http://technet.microsoft.com/es-es/security/bulletin/ms11-091

Boletín de seguridad de Microsoft MS11-092 – Crítica
Una vulnerabilidad en Windows Media podría permitir la ejecución remota de código (2648048)
http://technet.microsoft.com/es-es/security/bulletin/ms11-092

Boletín de seguridad de Microsoft MS11-093 – Importante
Una vulnerabilidad en OLE podría permitir la ejecución remota de código (2624667)
http://technet.microsoft.com/es-es/security/bulletin/ms11-093

Boletín de seguridad de Microsoft MS11-094 – Importante
Vulnerabilidades en Microsoft PowerPoint podrían permitir la ejecución remota de código (2639142)
http://technet.microsoft.com/es-es/security/bulletin/ms11-094

Boletín de seguridad de Microsoft MS11-095 – Importante
Una vulnerabilidad en Active Directory podría permitir la ejecución remota de código (2640045)
http://technet.microsoft.com/es-es/security/bulletin/ms11-095

Boletín de seguridad de Microsoft MS11-096 – Importante
Una vulnerabilidad en Microsoft Excel podría permitir la ejecución remota de código (2640241)
http://technet.microsoft.com/es-es/security/bulletin/ms11-096

Boletín de seguridad de Microsoft MS11-097 – Importante
Una vulnerabilidad en el subsistema de tiempo de ejecución de cliente-servidor de Windows podría permitir la elevación de privilegios (2620712)
http://technet.microsoft.com/es-es/security/bulletin/ms11-097

Boletín de seguridad de Microsoft MS11-098 – Importante
Una vulnerabilidad en el kernel de Windows podría permitir la elevación de privilegios (2633171)
http://technet.microsoft.com/es-es/security/bulletin/ms11-098

Boletín de seguridad de Microsoft MS11-099 – Importante
Actualización de seguridad acumulativa para Internet Explorer (2618444)
http://technet.microsoft.com/es-es/security/bulletin/ms11-099

Antonio Ropero
antonior@hispasec.com
Twitter: @aropero

El Real Decreto 3/2010, de 8 de enero, regula el Esquema Nacional de Seguridad (ENS) en el ámbito de la administración electrónica, previsto en el artículo 42 de la Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos. El ENS tiene por objeto establecer la política de seguridad en la utilización de medios electrónicos y está constituido por principios básicos y requisitos mínimos que permitan una protección adecuada de la información.

El libro está escrito por Juan Luis G. Rambla y José María Alonso Cebrián de Informática64, bajo la coordinación de Héctor Sánchez Montenegro, National Technology Officer de Microsoft Ibérica. En los prólogos cuenta con las aportaciones de María Garaña, Presidenta de Microsoft España; Víctor M. Izquierdo Loyola, Director General de INTECO; Fernando de Pablo, Director General para el Impulso de la Administración Electrónica del Ministerio de Política Territorial y Administración Pública; y Javier García Candau, Subdirector General Adjunto en funciones del Centro Criptológico Nacional.

La versión PDF del mismo está disponible de forma gratuita para su descarga en la siguiente dirección:
http://blogs.technet.com/cfs-file.ashx/__key/communityserver-blogs-components-weblogfiles/00-00-00-59-70-ENS/2262.esquema_5F00_nacional_5F00_seguridad_5F00_ok.pdf

Índice de contenidos

Capítulo 1. Antecedentes
Capítulo 2. El Esquema Nacional de Seguridad
2.1. Principios básicos
2.2. Requisitos mínimos
2.3. Comunicaciones electrónicas
2.4. Auditoría de seguridad
2.5. Respuesta a incidentes de seguridad
2.6. Adecuación tras la entrada en vigor del ENS
2.7. Régimen sancionador
Capítulo 3. Principios de seguridad: seguridad por defecto
Capítulo 4. Dimensiones de seguridad
4.1. Disponibilidad
4.2. Autenticidad
4.3. Integridad
4.4. Confidencialidad
4.5. Trazabilidad
4.6. Niveles de la dimensión de seguridad
Capítulo 5. Medidas de seguridad. Naturaleza de las medidas
5.1. Marco organizativo
5.2. Marco operacional
5.3. Medidas de protección
Capítulo 6. La implementación del ENS con tecnología Microsoft
6.1. Control de acceso
6.1.1. Identificación
6.1.2. Requisitos de acceso
6.1.3. Segregación de funciones y tareas
6.1.4. Proceso de gestión de derechos de acceso
6.1.5. Mecanismos de autenticación
6.1.6. Acceso local
6.1.7. Acceso remoto
6.2. Explotación
6.2.1. Gestión y configuración de activos
6.2.2. Protección y prevención frente a incidencias
6.2.3. Sistemas de registros y gestión de logs
6.3. Protección de los equipos
6.4. Protección de los soportes de información
6.5. Protección de las comunicaciones
6.5.1. Perímetro seguro
6.5.2. Protección de la confidencialidad
6.5.3. Protección de la autenticidad y la integridad
6.5.4. Segregación de redes
6.5.5. Medios alternativos
6.6. Protección de las aplicaciones informáticas
6.7. Protección de la información
6.8. Protección de los servicios
6.8.1. Protección del correo electrónico
6.8.2. Protección de servicios y aplicaciones web [mp.s.2]
6.8.3. Protección frente a la denegación de servicios
6.8.4. Medios alternativos
Capítulo 7. Premios, reconocimientos y certificaciones de los productos Microsoft
Capítulo 8. Seguridad y privacidad en la nube
8.1. Seguridad y privacidad: un proceso integral y continuo
8.2. Sistemas de gestión de Microsoft y control de acceso
8.3. Eventos y actividades de registro
8.4. Certificados estándar de cumplimiento
8.5. Guía de cliente para políticas de cumplimiento
8.6. Data centers, procesador y controlador de datos

Más Información:

Esquema Nacional de Seguridad. Texto consolidado RD 3_2010
http://administracionelectronica.gob.es/recursos/PAE_12924039691699901.pdf?iniciativa=146

Esquema Nacional de Seguridad con Tecnología Microsoft
http://blogs.technet.com/b/hectormontenegro/archive/2011/05/25/esquema-nacional-de-seguridad-con-tecnolog-237-a-microsoft.aspx

Descarga PDF – Esquema Nacional de Seguridad con Tecnología Microsoft
http://blogs.technet.com/cfs-file.ashx/__key/communityserver-blogs-components-weblogfiles/00-00-00-59-70-ENS/2262.esquema_5F00_nacional_5F00_seguridad_5F00_ok.pdf

Fuente: Hispasec.com

Los boletines publicados son:

• MS11-035: Actualización “crítica” destinada a resolver una vulnerabilidad en el Servicio de Nombres Internet de Windows (WINS). La vulnerabilidad podría permitir la ejecución remota de código en un sistema afectado que ejecute el servicio WINS si un usuario recibe un paquete de réplica de WINS especialmente diseñado. Afecta a Windows Server 2003 y 2008.
• MS11-036: Se trata de una actualización “importante” destinada a solucionar dos vulnerabilidades en Microsoft Power Point. Afecta a Microsoft Office XP, Office 2003 y 2007; y Office 2004 y 2007 para Mac.

Las actualizaciones publicadas pueden descargarse a través de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualización de los sistemas con la mayor brevedad posible.
Más Información:

Resumen del boletín de seguridad de Microsoft de mayo de 2011

http://www.microsoft.com/spain/technet/security/bulletin/ms11-may.mspx

Antonio Ropero
antonior@hispasec.com

La obsolescencia de los sistemas es una realidad que no suele copar titulares pero que tiene implicaciones muy severas en la informática empresarial, incluyendo -cómo no- la seguridad. Los sistemas operativos no se pueden mantener eternamente por parte de los fabricantes, con lo que siempre existe un momento en el que hay que plantearse la puesta fuera de servicio de la máquina o la actualización a un sistema operativo que sí esté soportado. Esto es algo que ocurre continuamente, ya que es parte inexorable del ciclo de vida que cada fabricante imprime a sus productos, y requiere a los responsables de TI a planificar en consecuencia teniendo en cuenta estas limitaciones.

Los próximos sistemas Windows que van a quedarse sin soporte de seguridad son Windows 2000 y Windows XP Service Pack 2. Con la excepción de las instalaciones no estándar que comentaremos después (entendiedo como no estándar las no desplegadas como escritorios) las actualizaciones a XP SP3 deberían ser poco traumáticas. Por otro lado, XP no es un sistema de servidor y no suele ser utilizado para aplicaciones críticas, si bien es cierto que al ser usados como escritorios lógicamente están expuestos a las amenazas externas, especialmente la troyanización. Pese a que en uno de los artículos enlazados se cifra en un 50% el número de sistemas XP empresariales en SP2, no debería ser excesivamente complejo traer estos equipos a SP3, con la mencionada salvedad de las instalaciones especiales.

Las migraciones Windows 2000 quizás sean un poco más problemáticas. Para empezar hay parte de la familia Windows 2000 que está siendo activamente empleada como servidores y por tanto, es de esperar que contengan aplicaciones empresariales que podrían tener un grado de criticidad relevante para el negocio. Tampoco me cabe duda que habrá instalaciones en las que se demore la actuación a consecuencia de falta de presupuesto, por priorización inadecuada o por que las aplicaciones empresariales no puedan ser migradas a servidores más recientes. Si la máquina está expuesta al tráfico de Internet, el panorama se torna más oscuro aún.

En cualquiera de esos casos, sea para Windows XP o para Windows 2000, es de prever que no todo el mundo arregle la papeleta a tiempo y que el parque de máquinas sin parchear cuando se agote el soporte estará todavía más expuesto a ataques, siendo el incremento de la exposición exponencial según avancen los ciclos de parcheo y las vulnerabilidades que se den a conocer para ambas plataformas. También es indudable que hay máquinas en las que se instaló el sistema operativo de una manera más estanca, como por ejemplo cajeros automáticos, terminales de venta, equipos industriales, SCADA y otros terminales donde no es sencillo realizar actualizaciones al no ser las instalaciones convencionales, con lo que no debemos caer en el error de pensar que los planes de migración serán sencillos para todos.

De lo que no me cabe duda alguna es que cuando se agote el soporte extendido, y según vaya avanzando el tiempo, existirán máquinas sin actualizar expuestas a amenazas, y que las probabilidades de que esas máquinas sean comprometidas serán mucho mayores comparadas a las máquinas actualizadas operando en igualdad de condiciones.

Fuente: sahw.com

Versiones Afectadas
A continuación se detallan las versiones afectadas:

Microsoft Windows 2000 SP 4
Windows XP SP 2 y Windows XP SP 3
Windows XP Professional x64 Edition SP 2
Windows Server 2003 SP 2
Windows Server 2003 x64 Edition SP 2
Windows Server 2003 con SP2 para arquitecturas Itanium
Windows Vista, Windows Vista SP 1, y Windows Vista SP 2
Windows Vista x64 Edition, Windows Vista x64 Edition SP 1, y Windows Vista x64 Edition SP 2
Windows Server 2008 para 32-bit y Windows Server 2008 para 32-bit SP 2
Windows Server 2008 para arquitecturas x64 y Windows Server 2008 para arquitecturas x64 SP 2
Windows Server 2008 para arquitecturas Itanium y Windows Server 2008 para arquitecturas Itanium SP 2
Windows 7
Windows 7 para arquitecturas x64
Windows Server 2008 R2 para arquitecturas x64
Windows Server 2008 R2 para arquitecturas Itanium
Internet Explorer 6 SP 1 en Microsoft Windows 2000 SP 4
Internet Explorer 6 para Windows XP SP 2, Windows XP SP 3, y Windows XP Professional x64 Edition SP 2
Internet Explorer 6 para Windows Server 2003 SP 2, Windows Server 2003 con SP2 para arquitecturas Itanium, y Windows Server 2003 x64 Edition SP 2
Internet Explorer 7 para Windows XP SP 2 y Windows XP SP 3, y Windows XP Professional x64 Edition SP 2
Internet Explorer 7 para Windows Server 2003 SP 2, Windows Server 2003 con SP2 para arquitecturas Itanium, y Windows Server 2003 x64 Edition SP 2
Internet Explorer 7 en Windows Vista, Windows Vista SP 1, Windows Vista SP 2, Windows Vista x64 Edition, Windows Vista x64 Edition SP 1, y Windows Vista x64 Edition SP 2
Internet Explorer 7 en Windows Server 2008 para 32-bit y Windows Server 2008 para 32-bit SP 2
Internet Explorer 7 en Windows Server 2008 para arquitecturas Itanium y Windows Server 2008 para arquitecturas Itanium SP 2
Internet Explorer 7 en Windows Server 2008 para arquitecturas x64 y Windows Server 2008 para arquitecturas x64 SP 2
Internet Explorer 8 para Windows XP SP 2, Windows XP SP 3, y Windows XP Professional x64 Edition SP 2
Internet Explorer 8 para Windows Server 2003 SP 2, y Windows Server 2003 x64 Edition SP 2
Internet Explorer 8 en Windows Vista, Windows Vista SP 1, Windows Vista SP 2, Windows Vista x64 Edition, Windows Vista x64 Edition SP 1, y Windows Vista x64 Edition SP 2
Internet Explorer 8 en Windows Server 2008 para 32-bit y Windows Server 2008 para 32-bit SP 2
Internet Explorer 8 en Windows Server 2008 para arquitecturas x64 y Windows Server 2008 para arquitecturas x64 SP 2
Internet Explorer 8 en Windows 7 para 32-bit
Internet Explorer 8 en Windows 7 para arquitecturas x64
Internet Explorer 8 en Windows Server 2008 R2 para arquitecturas x64
Internet Explorer 8 en Windows Server 2008 R2 para arquitecturas Itanium

Detalle
Microsoft ha publicado un aviso de seguridad en el que confirma la existencia de un error en Internet Explorer, el cual permite bajo ciertas circunstancias, el control de un puntero tras la liberación de un objeto. Esta vulnerabilidad puede ser aprovechada por un atacante remoto para ejecutar código arbitrario a través de una página web especialmente manipulada para tal fin.

Impacto
El impacto de esta vulnerabilidad es ALTAMENTE CRÍTICO.

Recomendaciones
Microsoft está investigando la vulnerabilidad y sus posibles soluciones y/o mitigaciones. Hasta tanto no se libere una actualización que corrija este problema, se recomienda visitar sólo sitios web confiables o utilizar un explorador web alternativo.

Referencias
Más información sobre este alerta:

Microsoft (en inglés):

http://www.microsoft.com/technet/security/advisory/979352.mspx

http://blogs.technet.com/msrc/archive/2010/01/14/security-advisory-979352.aspx

Fuente: ArCERT

La vulnerabilidad reside en un desbordamiento de entero en el descompresor LZCOMP del motor de fuentes empotradas OpenType, cuando procesa fuentes OpenType incrustadas (fuentes EOT o Embedded OpenType) específicamente diseñadas. Este fallo podría permitir la ejecución remota de código, si el usuario atacado abre un documento que incluya fuentes EOT especialmente manipuladas con alguna aplicación capaz de representar este tipo de fuentes, como Microsoft Internet Explorer, Microsoft Office PowerPoint o Microsoft Office Word.

Se ven afectados los sistemas Windows 2000, XP, Vista, 7 y Server 2003 y 2008.

Las actualizaciones publicadas pueden descargarse a través de Windows Update o consultando el boletín de Microsoft donde se incluyen las direcciones de descarga directa según la plataforma afectada. Se recomienda la actualización de los sistemas con la mayor brevedad posible.

Más Información:

Boletín de seguridad de Microsoft MS10-001 – Crítico
Una vulnerabilidad en el motor de fuentes OpenType incrustadas podría permitir la ejecución remota de código (972270)

http://www.microsoft.com/spain/technet/security/Bulletin/ms10-001.mspx

Antonio Ropero
antonior@hispasec.com

El fallo en cuestión es un desbordamiento de memoria intermedia basado en pila en la función ‘MPEG2TuneRequest’ de la librería msvidctl.dll. Un atacante remoto podría aprovechar esto para ejecutar código arbitrario con los permisos del usuario bajo el que se ejecuta el navegador.

La única contramedida disponible es la activación del kill bit del control. Es posible hacerlo guardando este archivo con extensión .reg y ejecutarlo como administrador:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\
ActiveX Compatibility\{0955AC62-BF2E-4CBA-A2B9-A63F772D46CF}]
“Compatibility Flags”=dword:00000400

No se ha confirmado aún a qué versiones de Windows en concreto afecta. La detección del JavaScript que explota el fallo es bastante pobre todavía. Según VirusTotal, solo McAfee, AntiVir, VirusBuster y Microsoft lo reconocen (recordando siempre que esto puede cambiar en un entorno de escritorio). El ejecutable que descarga sí tiene un mejor ratio de detección.

Malos momentos para Microsoft, puesto que acumula dos 0 day sin solución por ahora. A finales de mayo Microsoft reconocía un problema de ejecución de código explotable a través de archivos de QuickTime. En el posterior ciclo de actualizaciones de junio, no solucionó el problema, y tampoco parece que vaya a sacar un parche fuera de ciclo. La diferencia con este nuevo 0 day en msvidct.dll es que en aquel caso, no había información pública sobre cómo aprovecharlo. Esto hace mucho más peligroso este nuevo problema y sin duda hará que Microsoft actúe con mayor celeridad.

Más Información:

29/05/2009 0 day en Microsoft DirectX

http://www.hispasec.com/unaaldia/3870

Sergio de los Santos
ssantos@hispasec.com

Versiones Afectadas
Se ven afectadas por esta vulnerabilidad las versiones de Microsoft Internet Information Server (IIS) 5.0, 5.1 y 6.0.

Detalle
Una vulnerabilidad en la forma en que la extensión WebDAV de IIS manipula solicitudes HTTP, permitiría una elevación de privilegios. Esto podría ser aprovechado para acceder a recursos protegidos por contraseña, consiguiendo descargar, crear o modificar archivos existentes en un sitio Web, mediante una solicitud “HTTP anonymous” especialmente diseñada.

Impacto
El impacto de esta vulnerabilidad es MODERADO.

Recomendaciones
Actualmente, Microsoft se encuentra investigando dicho problema de seguridad, por lo que se recomienda deshabilitar WebDAV como solución temporal hasta tanto se publique una actualización.
En IIS 5.0 y 5.1 WebDAV puede ser deshabilitado como se describe en http://support.microsoft.com/kb/241520 (En Inglés)

En IIS 6.0, WebDAV puede ser deshabilitado mediante el “Administrador de Internet Information Services (IIS)”, seleccionando “Extensiones de servicio Web”, y prohibiendo la extensión “WebDAV”.

Referencias
Más información sobre la vulnerabilidad reportada:

Microsoft:

http://www.microsoft.com/technet/security/advisory/971492.mspx

Secunia:

http://secunia.com/advisories/35109/

Hispasec:

http://www.hispasec.com/unaaldia/3858

Fuente: ArCERT

Si en marzo se publicaron tres boletines de seguridad, este mes Microsoft prevé publicar ocho actualizaciones el martes 14 de abril. Cinco dedicadas a Windows (una de ellas compartida con Office), una a Internet Explorer, otra a ISA y una a Office (en concreto a Excel). Cinco alcanzan la categoría de críticas, dos están catalogadas como importantes y una como moderada.

Adicionalmente, y como viene siendo habitual, Microsoft publicará una actualización para Microsoft Windows Malicious Software Removal Tool. Además, se publicarán actualizaciones de alta prioridad no relacionadas con la seguridad.

Parece que Microsoft corregirá en esta tanda de parches el grave problema de seguridad encontrado en su hoja de cálculo Excel. El pasado 24 de febrero, Microsoft reconoció en una nota oficial que estaban investigando la existencia de una nueva vulnerabilidad en Office Excel que podría permitir la ejecución remota de código si un usuario abre un archivo Excel especialmente manipulado.

Lo que no es seguro, si se solucionará el grave problema en PowerPoint que Microsoft reconoció a principios de abril.

Como es habitual, cada boletín podrá contener un número indeterminado de correcciones de seguridad y hay que señalar que, en cualquier caso, el adelanto que ofrece Microsoft está sujeto a cambios de última hora.

Hispasec Sistemas publicará puntualmente a través de este boletín información detallada sobre los nuevos parches.

Más Información:

Microsoft Security Bulletin Advance Notification for April 2009

http://www.microsoft.com/technet/security/Bulletin/MS09-apr.mspx

Sergio de los Santos
ssantos@hispasec.com

Microsoft demostró tener menos bugs en Internet Explorer que Firefox, sin embargo el tiempo de reacción de los de Redmond fue infinitamente mayor. Este año, uno de los concursantes del Pwn2Own, explotó una vulnerabilidad del Internet Explorer de una forma que ha sido calificada como brillante.

Dicho concurso sirve para demostrar que los navegadores tienen cierto tipo de bugs que pueden llegar a otorgar el control de la máquina huésped. Tras ello, los concursantes informan del método usado y del problema en sí a los desarrolladores para que solucionen el problema, y no pueden hacer público el mismo, para evitar que terceros puedan aprovecharse del mismo.

El MSRC (Microsoft Security Response Center) ha reproducido y validado la vulnerabilidad IE8 en menos de 12 horas y está trabajando en un parche de seguridad que lanzarán “muy pronto”. Dicho acto, aunque debería ser normal, en el caso de Microsoft es sorprendente y más aún cuando Microsoft está plenamente volcado en el MIX 09.

Fuente:

http://www.theinquirer.es/2009/03/22/microsoft-reacciona-en-menos-de-12h-a-la-vulnerabilidad-ie8-explotada-en-pwn2own.html