Nota recibida por correo-e desde Hispasec - una al día
Dentro del conjunto de boletines de febrero publicado por Microsoft y del que ayer ya hicimos un adelanto, se cuenta una actualización de Internet Explorer que incluye todas las publicadas hasta la fecha y además elimina cuatro nuevas vulnerabilidades que permiten la ejecución remota de código.
Las cuatro vulnerabilidades corregidas son:
* Vulnerabilidad de descarga de archivos sin autorización en Internet Explorer debido a la forma en que el navegador trata los eventos de arrastrar y soltar. Un atacante puede explotar la vulnerabilidad creando una página web maliciosa que permitirá al atacante grabar un archivo ejecutable en el sistema del usuario sin que se muestre un cuadro de diálogo y sin necesidad de aprobar la descarga. El atacante podrá lograr que la descarga se realice en una localización específica del sistema atacado, para lograr la posterior ejecución del archivo.
* Vulnerabilidad de falsificación de zona de codificación URL.
Vulnerabilidad de ejecución remota de código en Internet Explorer debido a la forma en que se tratan determinadas URLs.
* Ejecución remota de código en Internet Explorer causada por la forma en que de tratan algunos métodos DHTML.
* Vulnerabilidad de dominios cruzados en Internet Explorer permite la ejecución remota de código. La vulnerabilidad radica en el proceso mediante el que se validan algunas direcciones URL que se encuentran en archivos CDF.
Las actualizaciones puedes descargarse desde:
Internet Explorer 5.01 Service Pack 3 (SP3) en Windows 2000 Service Pack 3:
http://www.microsoft.com/downloads/details.aspx?FamilyId=34F5BCDE-4EE2-4EFD-BB60-F5A6BC5F56D1
Internet Explorer 5.01 Service Pack 4 sobre Windows 2000 Service Pack 4:
http://www.microsoft.com/downloads/details.aspx?FamilyId=4C2CBB4B-2F00-4CD6-BB98-AD14A48B53C0
Internet Explorer 6 Service Pack 1 sobre Microsoft Windows 2000 Service Pack 3, sobre Microsoft Windows 2000 Service Pack 4, o sobre Microsoft Windows XP Service Pack 1:
http://www.microsoft.com/downloads/details.aspx?FamilyId=E473CD05-3320-4322-B437-F3A61E62F567
Internet Explorer 6 para Windows XP Service Pack 1 (64-Bit Edition):
http://www.microsoft.com/downloads/details.aspx?FamilyId=7EAE62C0-3DA0-4BAC-B2FE-ECE89959053D
Internet Explorer 6 para Windows Server 2003:
http://www.microsoft.com/downloads/details.aspx?FamilyId=4DC0FE8A-9D03-4AB8-8EAF-C85FF25CB1A2
Internet Explorer 6 para Windows Server 2003 64-Bit Edition and Windows XP 64-Bit Edition Version 2003:
http://www.microsoft.com/downloads/details.aspx?FamilyId=E3C4DA1F-6FA2-4A2B-A6D9-24B599C353B3
Internet Explorer 6 para Windows XP Service Pack 2:
http://www.microsoft.com/downloads/details.aspx?FamilyId=82056EAB-8367-4B04-A11A-1002D14EB55B
Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/2300/comentar
Más información:
Microsoft Security Bulletin MS05-014
Cumulative Security Update for Internet Explorer (867282)
http://www.microsoft.com/technet/security/bulletin/ms05-014.mspx
Boletín de seguridad de Microsoft MS05-014
Actualización de seguridad acumulativa para Internet Explorer (867282)
http://www.eu.microsoft.com/spain/technet/seguridad/boletines/MS05-014-IT.mspx
Antonio Ropero
antonior@hispasec.com
