Microsoft distribuye un nuevo parche acumulativo para Internet
Explorer versiones 5.01, 5.5, 6.0 y 6.0 para Windows Server 2003.
Además de incluir todas las correcciones anteriores publicadas hasta
la fecha, esta actualización soluciona dos nuevas vulnerabilidades
consideradas como críticas.
La primera de las nuevas vulnerabilidades se origina por un
desbordamiento de buffer en el tratamiento de las etiquetas de
los objetos que devuelve un servidor web (módulo urlmon.dll de
Internet Explorer). La explotación de esta vulnerabilidad podría ser
aprovechada por un atacante para ejecutar código arbitrario de forma
automática al visitar la víctima una página web o recibir un mensaje
HTML diseñados al efecto.
La segunda de las vulnerabilidades también puede ser aprovechada para
ejecutar código arbitrario en un sistema. En esta ocasión el problema
se ha detectado en el módulo (shdocvw.dll) encargado de mostrar los
cuadros de diálogo de descarga de archivos. La vulnerabilidad se
provoca cuando se presentan múltiples cuadros de diálogo de descarga
de archivos lo que consigue finalmente la ejecución automática de
los archivos. Al igual que el problema anterior, el ataque puede
llevarse a cabo mediante una página web o un e-mail en formato HTML.
Los parches pueden instalarse de forma automática mediante el servicio
Windows Update, o descargarse desde las siguientes direcciones:
Para todas las versiones de Internet Explorer, excepto Windows 2003
http://www.microsoft.com/windows/ie/downloads/critical/818529/default.asp
Internet Explorer 6.0 para Windows Server 2003
http://www.microsoft.com/windows/ie/downloads/critical/818529s/default.asp
Más información:
Descarga y ejecución automática de archivos en Internet Explorer
http://www.hispasec.com/unaaldia/1669
Cumulative Patch for Internet Explorer (818529)
http://www.microsoft.com/technet/security/bulletin/MS03-020.asp