En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasión se esperan siete boletines de seguridad, dos dedicados a su sistema operativo Windows, tres a Office, uno a Exchange y otro a Microsoft CAPICOM y BizTalk.

Si en abril fueron cinco boletines de seguridad que salieron a la luz, este mes Microsoft prevé publicar siete actualizaciones el día 8 de mayo. Alguno para Windows alcanza la categoría de crítico, así como para Office y el dedicado a Exchange y Microsoft CAPICOM y BizTalk.

Adicionalmente, y como viene siendo habitual, Microsoft publicará una actualización para Microsoft Windows Malicious Software Removal Tool. Además, se publicarán varias actualizaciones de alta prioridad no relacionadas con la seguridad.

Según las últimas informaciones oficiales de Microsoft, se publicará por fin el parche para la grave vulnerabilidad RPC/DNS que permitía la ejecución de código arbitrario con privilegios de SYSTEM en los sistemas vulnerables. Se programaron varios exploits que facilitaban la labor a atacantes que tuvieran acceso a los puertos 139, 445 o puertos dinámicos RPC (habitualmente accesibles en redes internas). Aunque la contramedida oficial fuese efectiva (un cambio en el registro) y no se perdiera por aplicarla la capacidad de administración remota del servidor DNS, cabe recordar que aplicar los parches en este caso sigue siendo imprescindible.

Exchange, sin actualizaciones de seguridad desde junio de 2006, solucionará un problema crítico en esta ocasión. No se tiene constancia de que el error sea público ni que esté siendo aprovechado. Es probable en cualquier caso, que tras la aparición del parche se deduzcan (o su descubridor publique abiertamente) detalles sobre la vulnerabilidad y aparezcan exploits del fallo, por lo que los administradores deberían aplicar la actualización en cuanto les sea posible.

También se espera que en esta tanda se solvente el grave problema en Office descubierto desde el 15 de febrero, y que permitía la ejecución de código a través de ficheros Word. Este no es el único problema en Office que queda por resolver, pero sí de los más graves junto con el de DNS/RPC, pues ambos están siendo aprovechados por atacantes activamente.


Más información:

Microsoft Security Bulletin Advance Notification
Microsoft Security Bulletin Advance Notification

Fuente

Microsoft ha publicado siete boletines de seguridad (MS07-023 al MS07-029) dentro de su ciclo habitual de actualizaciones. Según la propia clasificación de Microsoft todos los boletines presentan un nivel de gravedad "crítico".

* MS07-023: Evita tres vulnerabilidades en Microsoft Excel que pueden ser explotadas por atacantes remotos para comprometer los sistemas afectados.

* MS07-024: Se trata de una actualización para evitar tres vulnerabilidades en Microsoft Word que podrían permitir a un atacante remoto ejecutar código arbitrario.

* MS07-025: Esta actualización resuelve una vulnerabilidad en Microsoft Office que podría permitir la ejecución remota de código y obtener completo control del sistema.

* MS07-026: Esta actualización resuelve cuatro vulnerabilidades en Microsoft Exchange que pueden permitir a un atacante remoto obtener información sensible, provocar denegaciones de servicio o incluso la ejecución de código arbitrario.

* MS07-027: Actualización acumulativa para Microsoft Internet Explorer que además soluciona cinco nuevas vulnerabilidades que podrían permitir la ejecución remota de código arbitrario. Afecta a Internet Explorer 5.01, 6 y 7.

* MS07-028: En este boletín, de carácter crítico como todos los publicados, se ofrece la resolución para una vulnerabilidad de ejecución remota de código arbitrario en Cryptographic API Component Object Model, CAPICOM. Afecta a Microsoft CAPICOM 1.X y Microsoft BizTalk Server 2004.

* MS07-029: Se trata de la actualización para la vulnerabilidad en la implementación de la interfaz RPC del servidor DNS (Domain Name System) de Windows y que ya ha sido ampliamente analizada en "una-al-día".

Las actualizaciones publicadas pueden descargarse a través de Windows Update o consultando los boletines de Microsoft donde se incluyen las direcciones de descarga directa de cada parche. Dada la gravedad de las vulnerabilidades se recomienda la actualización de los sistemas con la mayor brevedad posible.



Más información:

Microsoft Security Bulletin Summary for May 2007
Microsoft Security Bulletin Summary for May 2007

Microsoft Security Bulletin MS07-023
Vulnerabilities in Microsoft Excel Could Allow Remote Code Execution
Microsoft Security Bulletin MS07-023: Vulnerabilities in Microsoft Excel Could Allow Remote Code Execution (934233)

Microsoft Security Bulletin MS07-024
Vulnerabilities in Microsoft Word Could Allow Remote Code Execution
Microsoft Security Bulletin MS07-024: Vulnerabilities in Microsoft Word Could Allow Remote Code Execution (934232)

Microsoft Security Bulletin MS07-025
Vulnerability in Microsoft Office Could Allow Remote Code Execution
Microsoft Security Bulletin MS07-025: Vulnerability in Microsoft Office Could Allow Remote Code Execution (934873)

Microsoft Security Bulletin MS07-026
Vulnerabilities in Microsoft Exchange Could Allow Remote Code Execution
Microsoft Security Bulletin MS07-026: Vulnerabilities in Microsoft Exchange Could Allow Remote Code Execution (931832)

Microsoft Security Bulletin MS07-027
Cumulative Security Update for Internet Explorer
http://www.microsoft.com/technet/sec.../ms07-027.mspx

Microsoft Security Bulletin MS07-028
Vulnerability in CAPICOM Could Allow Remote Code Execution
Microsoft Security Bulletin MS07-028: Vulnerability in CAPICOM Could Allow Remote Code Execution (931906)

Microsoft Security Bulletin MS07-029
Vulnerability in RPC on Windows DNS Server Could Allow Remote Code Execution
Microsoft Security Bulletin MS07-029: Vulnerability in Windows DNS RPC Interface Could Allow Remote Code Execution (935966)

Fuente

Dentro del conjunto de boletines de mayo publicado esta semana por Microsoft del que ya se efectuo un resumen, se cuenta el anuncio (en el boletín MS06-027) de una actualización acumulativa para Internet Explorer, que además solventa un total de cinco nuevas vulnerabilidades descubiertas en las versiones 5.01, 6 y 7 del navegador.

La primera se debe a un problema en la forma en la que Internet Explorer instancia objetos COM que no fueron diseñados para ser instanciados desde este. Un atacante puede aprovechar esto para ejecutar código arbitrario en la máquina de la víctima si esta visita una página web maliciosa especialmente construida a tal efecto.

La segunda se debe a la forma en la que Internet Explorer accede a objetos cuando no han sido aún inicializados o han sido borrados. Un atacante puede explotar esto construyendo una página web maliciosa que, una vez visitada por la víctima, provocará la ejecución de código arbitrario en el sistema de la misma.

La tercera se debe a la forma en la que Internet Explorer trata un método de propiedad. Un atacante puede crear una página maliciosa que, una vez visitada por la víctima, provocará la ejecución de código arbitrario en el sistema de la misma.

La cuarta se debe a una serie de problemas de Internet Explorer a la hora de acceder a memoria sin inicializar en ciertas situaciones. Un atacante puede crear una página maliciosa que, una vez visitada por la víctima, provocará la ejecución de código arbitrario en el sistema de la misma.

Por último, también se ha corregido un problema en un componente de servicio de medios que no era soportado por Internet Explorer. Un atacante puede crear una página maliciosa que, una vez visitada por la víctima, provocará la ejecución de código arbitrario en el sistema de la misma.

Se pueden descargar las actualizaciones desde las siguientes direcciones o desde Windows Update:
Microsoft Internet Explorer 5.01 SP4 para Windows 2000 SP4
Download details: Cumulative Update for Internet Explorer 5.01 Service Pack 4 (KB931768)
Microsoft Internet Explorer 6 SP1 sobre Windows 2000 SP4
Download details: Cumulative Update for Internet Explorer 6 SP1 (KB931768)
Microsoft Internet Explorer 6 para Windows XP SP2
Download details: Cumulative Update for Internet Explorer for Windows XP Service Pack 2 (KB931768)
Microsoft Internet Explorer 6 para Windows XP Professional x64 Edition
y Windows XP Professional x64 Edition SP2
Download details: Cumulative Update for Internet Explorer for Windows XP x64 Edition (KB931768)
Microsoft Internet Explorer 6 para Windows Server 2003 SP1 y Windows
Server 2003 SP2
Download details: Cumulative Update for Internet Explorer for Windows Server 2003 (KB931768)
Microsoft Internet Explorer 6 para Windows Server 2003 SP1 para
sistemas Itanium y Windows Server 2003 SP2 para sistemas Itanium
Download details: Cumulative Update for Internet Explorer for Windows Server 2003 64-bit Itanium Edition (KB931768)
Microsoft Internet Explorer 6 para Windows Server 2003 x64 Edition SP1
y Windows Server 2003 x64 Edition SP2
Download details: Cumulative Update for Internet Explorer for Windows Server 2003 x64 Edition (KB931768)
Windows Internet Explorer 7 para Windows XP SP2
Download details: Cumulative Update for Internet Explorer 7 for Windows XP Service Pack 2 (KB931768)
Windows Internet Explorer 7 para Windows XP Professional x64 Edition y
Windows XP Professional x64 Edition SP2
Download details: Cumulative Update for Internet Explorer 7 for Windows XP x64 Edition (KB931768)
Windows Internet Explorer 7 para Windows Server 2003 SP1 y Windows
Server 2003 SP2
Download details: Cumulative Update for Internet Explorer 7 for Windows Server 2003 (KB931768)
Windows Internet Explorer 7 para Windows Server 2003 SP1 para sistemas
Itanium y Windows Server 2003 SP2 para sistemas Itanium
Download details: Cumulative Update for Internet Explorer 7 for Windows Server 2003 64-bit Itanium Edition (KB931768)
Windows Internet Explorer 7 para Windows Server 2003 x64 Edition SP1 y
Windows Server 2003 x64 Edition SP2
Download details: Cumulative Update for Internet Explorer 7 for Windows Server 2003 x64 Edition (KB931768)
Windows Internet Explorer 7 en Windows Vista
Download details: Cumulative Update for Internet Explorer 7 in Windows Vista (KB931768)
Windows Internet Explorer 7 en Windows Vista x64 Edition
Download details: Cumulative Update for Internet Explorer 7 in Windows Vista x64 Edition (KB931768)


Más información:

Boletín de seguridad de Microsoft MS07-027
Actualización de seguridad acumulativa para Internet Explorer
http://www.microsoft.com/spain/techn.../MS07-027.mspx

Fuente