Coordinación de Seguridad de la Información

Coordinación de Seguridad de la Información

Información y servicios de seguridad en cómputo

1 2 3 4 5 6 7

Vulnerabilidades rss pdf

Coordinación de Seguridad de la Información - UNAM-CERT -- DGTIC-UNAM

Vulnerabilidad de Seguridad UNAM-CERT-2013-046 Vulnerabilidad en Microsoft Word podría permitir la ejecución remota de código

Esta actualización de seguridad resuelve una vulnerabilidad que se reportó de manera privada en Microsoft Office. La vulnerabilidad podría permitir la ejecución remota de código si un usuario abre un archivo especialmente diseñado u obtiene una vista previa de un mensaje de correo electrónico especialmente diseñado en una versión específica de Microsoft Office. Un atacante que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de privilegios que el usuario actual. Los usuarios cuyas cuentas estén configuradas con menos privilegios en el sistema correrían un riesgo menor que los que cuenten con privilegios de administrador.

  • Fecha de Liberación: 14-May-2013
  • Ultima Revisión: 11-Abr-2014
  • Fuente:
  • CVE ID: CVE-2013-1335
  • Riesgo Importante
  • Problema de Vulnerabilidad Remoto
  • Tipo de Vulnerabilidad Ejecución remota de código

Sistemas Afectados

Microsoft Windows Windows Microsoft Office 2003 Service_Pack 3 2810046
Microsoft Windows Windows Microsoft Word Viewer 2817361
  1. Índice de explotabilidad

    Vulnerabilidad de daños en las formas de Word - CVE-2013-1335

    Código de explotación funcional improbable

  2. Descripción

    Vulnerabilidad de daños en las formas de Word - CVE-2013-1335

    Existe una vulnerabilidad de ejecución remota de código en la forma en que Microsoft Word analiza el contenido de los archivos de Word. Un atacante que aprovechara esta vulnerabilidad podría lograr el control completo del sistema afectado. De esta forma, un atacante podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con todos los dprivilegios del usuario. Los usuarios cuyas cuentas estén configuradas con menos privilegios en el sistema correrían un riesgo menor que los que cuenten con privilegios de administrador.

  3. Impacto

    Vulnerabilidad de daños en las formas de Word - CVE-2013-1335

    En un ataque por correo electrónico, un atacante podría aprovechar la vulnerabilidad mediante el envío de datos con formato RTF especialmente diseñados en el contenido de un mensaje de correo electrónico. La vulnerabilidad se podría aprovechar cuando el mensaje de correo electrónico RTF especialmente diseñado se abriera o se obtuviera una vista previa de él en Outlook al usar Microsoft Word como el visor de correo electrónico. De forma predeterminada, Microsoft Word no es el lector de correo electrónico en Outlook 2003. Un atacante también podría aprovechar la vulnerabilidad si envía un archivo de Office especialmente diseñado al usuario y, a continuación, lo convence de que abra el archivo con una versión afectada de Microsoft Word o Microsoft Word Viewer.

    En el caso de un ataque a través de web, el atacante tendría que hospedar un sitio web que contuviera un archivo de Office destinado a intentar aprovechar esta vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan u hospedan contenido proporcionado por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. El atacante no podría obligar a los usuarios a visitar un sitio web especialmente diseñado. Por lo tanto, tendría que atraerlos al sitio web; por lo general, convenciéndoles de que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio del atacante y para que abran el archivo de Office especialmente diseñado.

  4. Solución

  5. Referencia

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

  • Manuel Ignacio Quintero Martínez (mquintero at seguridad dot unam dot mx)
  • Edgar Israel Rubi Chavez (erubi at seguridad dot unam dot mx)

UNAM-CERT
Equipo de Respuesta a Incidentes UNAM
Coordinación de Seguridad de la Información

incidentes at seguridad.unam.mx
phishing at seguridad.unam.mx
http://www.cert.org.mx
http://www.seguridad.unam.mx
ftp://ftp.seguridad.unam.mx
Tel: 56 22 81 69
Fax: 56 22 80 47


Universidad Nacional Autonoma de México AENOR LOGO FIRST LOGO Aviso legal |  Créditos |  Staff |  Acerca |  Contacto |  FTP |  Administración
Copyright © Todos los derechos reservados
UNAM - CERT