Esta actualización de seguridad resuelve vulnerabilidades reportadas en los controles de ActiveX que se compila usando la versión vulnerable de Microsoft Active Template Library (ATL). Las vulnerabilidades podrían permitir ejecución remota de código si un usuario carga un componente especialmente diseñado o un control. Usuarios cuya cuenta es configurada para tener menos privilegios de usuario sobre el sistema podrían ser menos impactados que aquellos usuarios quienes operan con privilegios de administrador.
Microsoft Windows | Microsoft Office Outlook 2007 Service Pack 1 and Microsoft Office Outlook 2007 Service Pack 2 | < | KB972363 |
Microsoft Windows | Microsoft Office Visio Viewer 2007, Microsoft Office Visio Viewer 2007 Service Pack 1, and Microsoft Office Visio Viewer 2007 Service Pack 2 | < | KB973709 |
Microsoft Windows | Microsoft Outlook 2002 Service Pack3 | <= | KB946986 |
Microsoft Windows | Microsoft Outlook 2003 Service Pack 3 | <= | KB945432 |
Vulnerabilidad 1 - CVE-2009-0901
Código de explotación consistente
Vulnerabilidad 2 - CVE-2009-2493
Código de explotación consistente
Vulnerabilidad 3 - CVE-2009-2495
Código de explotación funcional improbable
Vulnerabilidad 1 - CVE-2009-0901
Una vulnerabilidad de ejecución remota de código existe en Microsoft Active Template Library (ATL) debido a un problema en las cabeceras de ATL que podrían permitir a un atacante poner en vigor VariantClear a ser llamado sobre en una VARIANT que no se inicializado correctamente. Debido a esto, el atacante puede tomar control lo que sucede cuando VariantClear es llamado durante la manipulación de un error mediante el suministro de un flujo de corrupción. Esta vulnerabilidad solo afecta a sistemas con componentes y controles instalados que fueron construidas usando Visual Studio ATL. Este problema podría permitir control remoto, los usuarios no autenticados para realizar ejecución remota de código sobre un sistema afectado. Un atacante podría explotar la vulnerabilidad construyendo una página Web diseñada. Cuando un usuario vea la pagina Web, la vulnerabilidad podría permitir ejecutar código.
Vulnerabilidad 2 - CVE-2009-2493
Una vulnerabilidad de ejecución remota de código existe en Microsoft Active Template Library (ATL) debido a encabezado que manejan instancias de un objeto a partir de flujos de datos. Esta vulnerabilidad solo afecta a sistemas con componentes y controles instalados que fueron construidas usando Visual Studio ATL. Para componentes y controles construidos usando ATL, usándolo inapropiado de la OleLoadFromStream podría permitir la creación de instancias de objetos arbitrarios que pueden pasar por alto la política de seguridad relacionados, tales como bits de Internet Explorer.
Vulnerabilidad 3 - CVE-2009-2495
La información de esta vulnerabilidad existe en Microsoft Active Template Library (ATL) que podría permitir a una cadena ser leída sin un carácter nulo de terminación. Un atacante podría manipular esta cadena para leer datos adicionales más allá del final de la cadena y así mostrar la información en la memoria. Esta vulnerabilidad solo afecta a sistemas con componentes y controles instalados que fueron construidas usando Visual Studio ATL. Un atacante que exitosamente explote esta vulnerabilidad podría corres componentes y controles maliciosos que podrían divulgar información, enviar datos de usuarios a terceras personas o accesar a cualquier dato sobre un sistema afectado que era accesible al usuario con sesión iniciada. Nota esta vulnerabilidad no permitirá a un atacante ejecutar código o elevar sus derechos de usuario directamente, pero podría ser utilizado para producir información que pueda utilizarse para tratar de sacar mas provecho del sistema afectado.
Vulnerabilidad 1 - CVE-2009-0901
Esta vulnerabilidad no puede ser explotada a través de un correo electrónico, para un atacante seria más exitoso que un usuario abriera un archivo adjunto que es enviado en un correo electrónico.
Un atacante que aproveche esta vulnerabilidad podría obtener los mismos derechos de usuario que el usuario local. Los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema podrían ser menos afectados que aquellos usuarios quienes operan con privilegios de administrador.
Vulnerabilidad 2 - CVE-2009-2493
Este problema podría permitir control remoto, los usuarios no autenticados para realizar ejecución remota de código sobre un sistema afectado. Un atacante podría explotar la vulnerabilidad construyendo una página Web diseñada. Cuando un usuario vea la pagina Web, la vulnerabilidad podría permitir ejecutar código.
Un atacante quien exitosamente explote esta vulnerabilidad podrá tener los mismos derechos de usuario como un usuario local. Usuarios cuya cuenta es configurada para tener menos privilegios de usuario sobre el sistema podrían ser menos impactados que aquellos usuarios quienes operan con privilegios de administrador.
Vulnerabilidad 3 - CVE-2009-2495
Un atacante quien exitosamente explote esta vulnerabilidad podrá tener los mismos derechos de usuario como un usuario local. Usuarios cuya cuenta es configurada para tener menos privilegios de usuario sobre el sistema podrían ser menos impactados que aquellos usuarios quienes operan con privilegios de administrador.
La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:
UNAM-CERT
Equipo de Respuesta a Incidentes UNAM
Coordinación de Seguridad de la Información
incidentes at seguridad.unam.mx
phishing at seguridad.unam.mx
http://www.cert.org.mx
http://www.seguridad.unam.mx
ftp://ftp.seguridad.unam.mx
Tel: 56 22 81 69
Fax: 56 22 80 47
Aviso legal |
Créditos |
Staff |
Administración
Copyright © Todos los derechos reservados
UNAM - CERT