Sistemas Afectados

1. Índice de explotabilidad

   Código de explotación inconsistente.

2. Descripción

   Vulnerabilidad de daños en la memoria relacionada con Microsoft Excel (CVE-2013-3889)
   Existe una vulnerabilidad de ejecución remota de código en la forma en que Microsoft Office Services y Web Apps analizan el contenido de los archivos especialmente diseñados. Un atacante que aprovechara esta vulnerabilidad podría lograr el control completo de un sistema afectado. De esta forma, un intruso podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con todos los derechos de usuario. Los usuarios cuyas cuentas estén configuradas con menos derechos de usuario en el sistema correrían un riesgo menor que los que cuenten con derechos de usuario administrativos.

   Vulnerabilidad de inserción de parámetros (CVE-2013-3895)
   Existe una vulnerabilidad de elevación de privilegios en Microsoft SharePoint Server. Un atacante que consiguiera aprovechar esta vulnerabilidad podría realizar ataques de secuencias de comandos de sitios y ejecutar una secuencia de comandos en el contexto de seguridad del usuario que ha iniciado sesión.

3. Impacto

   Vulnerabilidad de daños en la memoria relacionada con Microsoft Excel (CVE-2013-3889)
   Esta vulnerabilidad requiere que un usuario abra un archivo de Office especialmente diseñado con una versión afectada del software de Microsoft Excel. En el supuesto de un ataque por correo electrónico, un atacante podría aprovechar la vulnerabilidad si envía al usuario un archivo de Office especialmente diseñado y lo convence de que lo abra.

   En el caso de un ataque a través de web, el atacante tendría que hospedar un sitio web que contuviera un archivo de Office especialmente diseñado destinado a intentar aprovechar esta vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan u hospedan contenido proporcionado por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. El atacante no podría obligar a los usuarios a visitar un sitio web especialmente diseñado. Por lo tanto, tendría que atraer a los usuarios al sitio web; para ello debería, por ejemplo, incitarles a hacer clic en un vínculo que les llevara al sitio del atacante y, después, convencerlos para abrir el archivo de Office especialmente diseñado.

   Vulnerabilidad de inserción de parámetros (CVE-2013-3895)

   Un atacante que aprovechara esta vulnerabilidad podría leer el contenido para el que no tuviera autorización, usar la identidad de la víctima para realizar acciones en el sitio de SharePoint en nombre de la víctima, como cambiar los permisos y eliminar contenido, e insertar contenido malintencionado en el explorador de la víctima.

4. Solución

   • Microsoft Windows SharePoint Services 3.0 Service Pack 3 (wssloc) (versiones de 32 bits)
   • Microsoft Windows SharePoint Services 3.0 Service Pack 3 (wssloc) (versiones de 64 bits)
   • Microsoft SharePoint Foundation 2010 Service Pack 1 (wssloc)
   • Microsoft SharePoint Foundation 2010 Service Pack 2 (wssloc)
   • Microsoft SharePoint Server 2013 (wacserver)
   • Microsoft SharePoint Server 2013 (pptserver)
   • Excel Services
   • Word Automation Services
   • Excel Services
   • Word Automation Services
   • Microsoft Web Applications 2010 Service Pack 1
   • Microsoft Excel Web App 2010 Service Pack 1
   • Microsoft Web Applications 2010 Service Pack 2
   • Microsoft Excel Web App 2010 Service Pack 2

5. Referencias

   • http://technet.microsoft.com/en-us/security/bulletin/ms13-oct
   • https://technet.microsoft.com/en-us/security/bulletin/ms13-084

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Said Ramírez Hernández (sramirez at seguridad dot unam dot mx)
• Manuel Ignacio Quintero Martínez (mquintero at seguridad dot unam dot mx)