En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasión se esperan cinco boletines de seguridad, uno dedicado a su sistema operativo Windows, uno para Visual Studio, uno para Microsoft Windows Services para UNIX , uno para su MSN (Live) Messenger y uno compartido entre Microsoft Windows y Microsoft SharePoint Server.
Si en agosto fueron nueve boletines de seguridad que salieron a la luz, este mes Microsoft prevé publicar cinco actualizaciones el día 11 de septiembre. Parece que el dedicado a Windows (y que en principio se anuncia sólo para Windows 2000) alcanza la categoría de crítico. El resto han sido calificados con categoría de «importante».
Adicionalmente, y como viene siendo habitual, Microsoft publicará una actualización para Microsoft Windows Malicious Software Removal Tool. Además, se publicará una actualización de alta prioridad no relacionada con la seguridad.
El fallo en el ActiveX de Office descubierto a mediados de junio, del que existe exploit público y no actualización oficial, no parece estar siendo explotado de forma masiva. No fue corregido en agosto y parece que tampoco será corregido en esta ocasión.
Parece interesante la vulnerabilidad en Visual Studio, que quizás corresponda con el exploit hecho público hace unos días. Se trata de una posible ejecución de código a través de ficheros VBP (Visual Basic Project) especialmente manipulados.
Igualmente parece que se va a corregir el grave fallo descubierto en Microsoft MSN Messenger y (como se llama ahora) Live Messegner. El fallo que se publicó ‘por sorpresa’ a finales de agosto se debe a un error en el manejo de conversaciones de vídeo. Si se envían datos especialmente manipulados, un atacante podrá provocar un desbordamiento de heap y ejecutar código arbitrario si la víctima acepta una invitación de cámara web. Este fallo es muy similar al que se detectó a mediados de agosto en Yahoo! Messenger, competencia directa de Microsoft en mensajería instantánea.
El fallo se ha encontrado en versiones 7.x y anteriores. La versión 8.1 parecía no verse afectada por este problema, lo que mitiga en parte el potencial impacto de la vulnerabilidad al ser la versión mayoritariamente usada. Microsoft, hasta ahora, no se había pronunciado al respecto.
Hispasec Sistemas publicará puntualmente a través de este boletín información detallada sobre los nuevos parches.
ssantos@hispasec.com
Más información:
Microsoft Security Bulletin Advance Notification for September 2007
http://www.microsoft.com/technet/security/bulletin/ms07-sep.mspx
Deja un comentario