MS13-096 - Crítica : Una vulnerabilidad en el componente de gráficos de Microsoft podría permitir la ejecución remota de código (2908005) - Versión: 1.0
Severity Rating: Crítica
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve una vulnerabilidad de la que se ha informado de forma pública en Microsoft Windows, Microsoft Office y Microsoft Lync. La vulnerabilidad podría permitir la ejecución remota de código si un usuario consulta contenido que contiene archivos TIFF especialmente diseñados.
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve una vulnerabilidad de la que se ha informado de forma pública en Microsoft Windows, Microsoft Office y Microsoft Lync. La vulnerabilidad podría permitir la ejecución remota de código si un usuario consulta contenido que contiene archivos TIFF especialmente diseñados.
Severity Rating: Crítica
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve siete vulnerabilidades de las que se ha informado de forma privada en Internet Explorer. La más grave de las vulnerabilidades podría permitir la ejecución remota de código si un usuario, mediante Internet Explorer, visita una página web especialmente diseñada. Un atacante que aprovechara la más grave de estas vulnerabilidades podría conseguir el mismo nivel de derechos de usuario que el usuario actual. Los usuarios cuyas cuentas estén configuradas con menos derechos de usuario en el sistema correrían un riesgo menor que los que cuenten con derechos de usuario administrativos.
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve siete vulnerabilidades de las que se ha informado de forma privada en Internet Explorer. La más grave de las vulnerabilidades podría permitir la ejecución remota de código si un usuario, mediante Internet Explorer, visita una página web especialmente diseñada. Un atacante que aprovechara la más grave de estas vulnerabilidades podría conseguir el mismo nivel de derechos de usuario que el usuario actual. Los usuarios cuyas cuentas estén configuradas con menos derechos de usuario en el sistema correrían un riesgo menor que los que cuenten con derechos de usuario administrativos.
Severity Rating: Crítica
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad crítica resuelve una vulnerabilidad de la que se ha informado de forma privada en Microsoft Windows. La vulnerabilidad podría permitir la ejecución remota de código si un usuario o una aplicación ejecuta o instala un archivo portable (PE) ejecutable, firmado y especialmente diseñado en un sistema afectado.
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad crítica resuelve una vulnerabilidad de la que se ha informado de forma privada en Microsoft Windows. La vulnerabilidad podría permitir la ejecución remota de código si un usuario o una aplicación ejecuta o instala un archivo portable (PE) ejecutable, firmado y especialmente diseñado en un sistema afectado.
Severity Rating: Crítica
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad crítica resuelve una vulnerabilidad de la que se ha informado de forma privada en Microsoft Windows. La vulnerabilidad podría permitir la ejecución remota de código si un atacante convence a un usuario para que visite un sitio web especialmente diseñado o un sitio web que hospede contenido especialmente diseñado. Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Los usuarios cuyas cuentas estén configuradas con menos derechos de usuario en el sistema correrían un riesgo menor que los que cuenten con derechos de usuario administrativos.
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad crítica resuelve una vulnerabilidad de la que se ha informado de forma privada en Microsoft Windows. La vulnerabilidad podría permitir la ejecución remota de código si un atacante convence a un usuario para que visite un sitio web especialmente diseñado o un sitio web que hospede contenido especialmente diseñado. Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Los usuarios cuyas cuentas estén configuradas con menos derechos de usuario en el sistema correrían un riesgo menor que los que cuenten con derechos de usuario administrativos.
Severity Rating: Importante
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve varias vulnerabilidades de las que se ha informado de forma privada en el software de servidor de Microsoft Office. Estas vulnerabilidades podrían permitir la ejecución remota de código si un atacante autenticado envía contenido de página especialmente diseñado a un servidor de SharePoint. Un atacante que aprovechara estas vulnerabilidades podría ejecutar código arbitrario en el contexto de seguridad de la cuenta de servicio W3WP en el sitio de SharePoint atacado.
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve varias vulnerabilidades de las que se ha informado de forma privada en el software de servidor de Microsoft Office. Estas vulnerabilidades podrían permitir la ejecución remota de código si un atacante autenticado envía contenido de página especialmente diseñado a un servidor de SharePoint. Un atacante que aprovechara estas vulnerabilidades podría ejecutar código arbitrario en el contexto de seguridad de la cuenta de servicio W3WP en el sitio de SharePoint atacado.
Severity Rating: Importante
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve cinco vulnerabilidades de las que se ha informado de forma privada en Microsoft Windows. La más grave de estas vulnerabilidades podría permitir la elevación de privilegios si un atacante inicia sesión en el sistema de un usuario y ejecuta una aplicación especialmente diseñada. Para aprovechar esta vulnerabilidad, un atacante debe de tener unas credenciales de inicio de sesión válidas y ser capaz de iniciar una sesión local.
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve cinco vulnerabilidades de las que se ha informado de forma privada en Microsoft Windows. La más grave de estas vulnerabilidades podría permitir la elevación de privilegios si un atacante inicia sesión en el sistema de un usuario y ejecuta una aplicación especialmente diseñada. Para aprovechar esta vulnerabilidad, un atacante debe de tener unas credenciales de inicio de sesión válidas y ser capaz de iniciar una sesión local.
Severity Rating: Importante
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve una vulnerabilidad en Windows de la que se ha informado de forma privada. La vulnerabilidad podría permitir la elevación de privilegios si un atacante envía un mensaje de puerto LPC especialmente diseñado a un consumidor o servidor de LPC. Un atacante que aprovechara la vulnerabilidad podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con todos los derechos de administrador. Para aprovechar esta vulnerabilidad, un atacante debe de tener unas credenciales de inicio de sesión válidas y ser capaz de iniciar una sesión local.
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve una vulnerabilidad en Windows de la que se ha informado de forma privada. La vulnerabilidad podría permitir la elevación de privilegios si un atacante envía un mensaje de puerto LPC especialmente diseñado a un consumidor o servidor de LPC. Un atacante que aprovechara la vulnerabilidad podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con todos los derechos de administrador. Para aprovechar esta vulnerabilidad, un atacante debe de tener unas credenciales de inicio de sesión válidas y ser capaz de iniciar una sesión local.
Severity Rating: Importante
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve una vulnerabilidad de la que se ha informado de forma privada en ASP.NET SignalR. La vulnerabilidad podría permitir la elevación de privilegios si un atacante refleja código JavaScript especialmente diseñado al explorador de un servidor de destino.
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve una vulnerabilidad de la que se ha informado de forma privada en ASP.NET SignalR. La vulnerabilidad podría permitir la elevación de privilegios si un atacante refleja código JavaScript especialmente diseñado al explorador de un servidor de destino.
Severity Rating: Importante
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve una vulnerabilidad de la que se ha informado de forma privada en Microsoft Office que podría permitir la divulgación de información si un usuario intenta abrir un archivo de Office hospedado en un sitio web malintencionado. Un atacante que aprovechara esta vulnerabilidad podría averiguar los tokens de acceso usados para autenticar al usuario actual en un sitio de SharePoint destino o en otro sitio de servidor de Microsoft Office.
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve una vulnerabilidad de la que se ha informado de forma privada en Microsoft Office que podría permitir la divulgación de información si un usuario intenta abrir un archivo de Office hospedado en un sitio web malintencionado. Un atacante que aprovechara esta vulnerabilidad podría averiguar los tokens de acceso usados para autenticar al usuario actual en un sitio de SharePoint destino o en otro sitio de servidor de Microsoft Office.
Severity Rating: Crítica
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve tres vulnerabilidades de las que se ha informado de forma pública y una vulnerabilidad de la que se ha informado de forma privada en Microsoft Exchange Server. La más grave de estas vulnerabilidades se encuentra en las características Presentación de documentos WebReady y Prevención de la pérdida de datos de Microsoft Exchange Server. Estas vulnerabilidades podrían permitir la ejecución remota de código en el contexto de seguridad de la cuenta LocalService si un atacante envía un mensaje de correo electrónico que contenga un archivo especialmente diseñado a un usuario en un servidor de Exchange afectado. La cuenta LocalService tiene privilegios mínimos en el sistema local y presenta credenciales anónimas en la red.
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve tres vulnerabilidades de las que se ha informado de forma pública y una vulnerabilidad de la que se ha informado de forma privada en Microsoft Exchange Server. La más grave de estas vulnerabilidades se encuentra en las características Presentación de documentos WebReady y Prevención de la pérdida de datos de Microsoft Exchange Server. Estas vulnerabilidades podrían permitir la ejecución remota de código en el contexto de seguridad de la cuenta LocalService si un atacante envía un mensaje de correo electrónico que contenga un archivo especialmente diseñado a un usuario en un servidor de Exchange afectado. La cuenta LocalService tiene privilegios mínimos en el sistema local y presenta credenciales anónimas en la red.
Severity Rating: Importante
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve una vulnerabilidad divulgada de forma pública en un componente compartido de Microsoft Office que se está aprovechando actualmente. La vulnerabilidad podría permitir la omisión de la característica de seguridad si un usuario consulta una página web especialmente diseñado en un explorador web que pueda ejecutar componentes COM, como Internet Explorer. En un escenario de ataque de exploración web, un atacante que aprovechara esta vulnerabilidad podría omitir la característica de seguridad de selección aleatoria del diseño del espacio de direcciones (ASLR), que contribuye a proteger a los usuarios de una amplia gama de vulnerabilidades. La omisión de la característica de seguridad en sí misma no permite la ejecución de código arbitrario. No obstante, un atacante podría usar esta vulnerabilidad de omisión de ASLR conjuntamente con otra vulnerabilidad, como la de ejecución remota de código, que pudiera aprovechar la omisión de ASLR para ejecutar código arbitrario.
Revision Note: V1.0 (10 de diciembre de 2013): Publicación del boletín.
Summary: Esta actualización de seguridad resuelve una vulnerabilidad divulgada de forma pública en un componente compartido de Microsoft Office que se está aprovechando actualmente. La vulnerabilidad podría permitir la omisión de la característica de seguridad si un usuario consulta una página web especialmente diseñado en un explorador web que pueda ejecutar componentes COM, como Internet Explorer. En un escenario de ataque de exploración web, un atacante que aprovechara esta vulnerabilidad podría omitir la característica de seguridad de selección aleatoria del diseño del espacio de direcciones (ASLR), que contribuye a proteger a los usuarios de una amplia gama de vulnerabilidades. La omisión de la característica de seguridad en sí misma no permite la ejecución de código arbitrario. No obstante, un atacante podría usar esta vulnerabilidad de omisión de ASLR conjuntamente con otra vulnerabilidad, como la de ejecución remota de código, que pudiera aprovechar la omisión de ASLR para ejecutar código arbitrario.
No hay comentarios:
Publicar un comentario