Sistemas Afectados

1. Descripción

   • Vulnerabilidades de corrupción de memoria relacionada con los controles ActiveX DirectAnimation (CVE-2006-4446 y CVE-2006-4777)

   Existen vulnerabilidades de ejecución remota de código en los controles ActiveX DirectAnimation que se podrían aprovechar si se transfieren datos inesperados a dichos controles. Un intruso podría aprovechar estas vulnerabilidades mediante la creación de una página Web especialmente diseñada que podría permitir la ejecución remota de código si el usuario visita el sitio donde se aloja la página.

   • Vulnerabilidad de corrupción de memoria relacionada con el procesamiento HTML (CVE-2006-4687)

   Existe una vulnerabilidad de ejecución remota de código en la forma en que Internet Explorer interpreta HTML con determinadas combinaciones de diseño. Un intruso podría aprovechar esta vulnerabilidad mediante la creación de una página Web especialmente diseñada que podría permitir la ejecución remota de código si el usuario la visita.

2. Impacto

   Un intruso que explote alguna de estas vulnerabilidades podría tomar el control total del sistema afectado de manera remota. De esta forma, un intruso podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con privilegios administrativos.

3. Solución

   Aplicar una actualización:

   • Microsoft Internet Explorer 5.01 Service Pack 4 en Windows 2000 Service Pack 4 – Descargar la actualización
   • Microsoft Internet Explorer 6 Service Pack 1 en Windows 2000 Service Pack 4 – Descargar la actualización
   • Microsoft Internet Explorer 6 para Windows XP Service Pack 2 – Descargar la actualización
   • Microsoft Internet Explorer 6 para Windows XP Professional x64 Edition – Descargar la actualización
   • Microsoft Internet Explorer 6 para Windows Server 2003 y Microsoft Windows Server 2003 Service Pack 1 – Descargar la actualización
   • Microsoft Internet Explorer 6 para Windows Server 2003 para sistemas con Itanium y Windows Server 2003 con SP1 para sistemas con Itanium – Descargar la actualización
   • Microsoft Internet Explorer 6 para Windows Server 2003 x64 Edition: – Descargar la actualización

4. Apéndice

   • Boletín de Seguridad de Microsoft MS06-067 -

     http://www.microsoft.com/technet/security/bulletin/MS06-067.mspx

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Juan Lopez Morales (jlopez at seguridad dot unam dot mx)
• Jesús Ramón Jiménez Rojas (jrojas at seguridad dot unam dot mx)