1 2 3 4 5 6

Vulnerabilidades rss pdf

Coordinación de Seguridad de la Información - UNAM-CERT -- DGTIC-UNAM

Bolwin de Seguridad UNAM-CERT-2007-034 Actualización Acumulativa de Seguridad para Outlook Express y Windows Mail (929123)

Esta actualización crítica resuelve dos vulnerabilidades que podrían permitir el compromiso remoto de un sistema Windows.

  • Fecha de Liberación: 12-Jun-2007
  • Ultima Revisión: 12-Jun-2007
  • Fuente: Microsoft Corp.
  • CVE ID: CVE-2006-2111 CVE-2007-1658 CVE-2007-2225 CVE-2007-2227
  • Riesgo Crítico
  • Problema de Vulnerabilidad Remoto
  • Tipo de Vulnerabilidad Ejecución remota de código

Sistemas Afectados

Windows Server 2003 Edición x64 Outlook Express 6 KB929123
Windows Server 2003 Edición x64 Service Pack 2 Outlook Express 6 KB929123
Windows Server 2003 Service Pack 1 Outlook Express 6 KB929123
Windows Server 2003 Service Pack 1 para Sistemas Basados en Itanium Outlook Express 6 KB929123
Windows Server 2003 Service Pack 2 Outlook Express 6 KB929123
Windows Server 2003 Service Pack 2 para Sistemas Basados en Itanium Outlook Express 6 KB929123
Windows Vista Edición x64 Outlook Express 6 KB929123
Windows Vista Outlook Express 6 KB929123
Windows XP Profesional Edición x64 Outlook Express 6 KB929123
Windows XP Profesional Edición x64 Service Pack 2 Outlook Express 6 KB929123
Windows XP Service Pack 2 Outlook Express 6 KB929123
  1. Descripción

    • Vulnerabilidad de Revelación de Información del tipo Cross Domain en el Redirector de URLs – CVE-2006-2111
    • Existe una vulnerabilidad de revelación de información en Windows debido a que el manejador del protocolo MHTML interpreta de forma incorrecta las redirecciones URL del tipo MHTML que podrían potencialmente evadir las restricciones de dominio de Internet Explorer.

    • Vulnerabilidad de Ejecución Remota de Código en los Requerimientos de Navegación UNC de Windows Mail – CVE-2007-1658
    • Existe una vulnerabilidad de ejecución remota de código que resulta en la forma en como son manejados los requerimientos de navegación UNC o de forma local en Windows Mail.

    • Vulnerabilidad de Revelación de Información del tipo Cross Domain en el Analizador de URLs – CVE-2007-2225
    • Existe una vulnerabilidad de revelación de información en Windows debido a que el manejador del protocolo MHTML interpreta de forma incorrecta las cabeceras http cuando se retorna contenido MHTML.

    • Vulnerabilidad de Revelación de Información del tipo Cross Domain en el Analizador de Disposición de Contenido – CVE-2007-2227
    • Existe una vulnerabilidad de revelación de información en la forma en como el manejador del protocolo MHTML pasa las notificaciones del tipo Content-Disposition a Internet Explorer. La vulnerabilidad podría permitir a un atacante evadir el cuadro de diálogo de descarga de archivo de Internet Explorer.

  2. Impacto

      Para las vulnerabilidades:

    • Vulnerabilidad de Revelación de Información del tipo Cross Domain en el Redirector de URLs – CVE-2006-2111 y Vulnerabilidad de Revelación de Información del tipo Cross Domain en el Analizador de URLs – CVE-2007-2225 y Vulnerabilidad de Revelación de Información del tipo Cross Domain en el Analizador de Disposición de Contenido – CVE-2007-2227
    • Un atacante podría explotar la vulnerabilidad construyendo una página Web maliciosa. Si el usuario visita la página Web utilizando Internet Explorer, la vulnerabilidad podría potencialmente permitir la revelación de información. Un intruso que explote satisfactoriamente esta vulnerabilidad podría leer datos de otro dominio de Internet Explorer.

      Para la vulnerabilidad:

    • Vulnerabilidad de Ejecución Remota de Código en los Requerimientos de Navegación UNC de Windows Mail – CVE-2006-2111
    • Un atacante podría explotar la vulnerabilidad construyendo un mensaje de correo electrónico malicioso que podría potencialmente permitir la ejecución de código desde un archivo local o ruta UNC si el usuario hace clic en un vínculo contenido en el correo. Un intruso que explote satisfactoriamente la vulnerabilidad podría tomar el control completo de un sistema afectado.

  3. Solución

  4. Apéndice

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

  • Jesús Ramón Jiménez Rojas (jrojas at seguridad dot unam dot mx)

UNAM-CERT
Equipo de Respuesta a Incidentes UNAM
Coordinación de Seguridad de la Información

incidentes at seguridad.unam.mx
phishing at seguridad.unam.mx
http://www.cert.org.mx
http://www.seguridad.unam.mx
ftp://ftp.seguridad.unam.mx
Tel: 56 22 81 69
Fax: 56 22 80 47


Universidad Nacional Autonoma de México Aviso legal |  Créditos |  Staff |  Administración
Copyright © Todos los derechos reservados
UNAM - CERT