Documento informativo sobre seguridad de Microsoft (2659883)

Microsoft tiene constancia de información detallada que se ha publicado en la que se describe un nuevo método para aprovechar las tablas hash. Los ataques que se dirigen a este tipo de vulnerabilidad se denominan de forma genérica "ataques de colisión de hash". Los ataques de este tipo no son específicos de las tecnologías de Microsoft y afectan a otros proveedores de software de servicios web. Esta vulnerabilidad afecta a todas las versiones de Microsoft .NET Framework y podría permitir un ataque de denegación de servicio sin autenticar en los servidores que sirven páginas ASP.NET. Los sitios que solo sirven contenido estático o no permiten tipos de contenido dinámico enumerados en los factores atenuantes siguientes no son vulnerables.

La vulnerabilidad se debe a la forma en que ASP.NET procesa los valores en una publicación de formulario ASP.NET, lo que provoca una colisión de hash. Un atacante puede enviar un número reducido de publicaciones especialmente diseñadas a un servidor ASP.NET, lo que provoca un deterioro del rendimiento lo suficientemente considerable como para dar como resultado una condición de denegación de servicio. Microsoft tiene constancia de que hay disponible información detallada que se podría usar para aprovechar esta vulnerabilidad, pero no tiene constancia de ningún ataque activo.

En este artículo se proporcionan los detalles de una solución provisional para proteger los sitios contra esta vulnerabilidad. Las implementaciones individuales para los sitios que usan ASP.NET variarán y Microsoft sugiere que los clientes evalúen las consecuencias de la solución provisional en lo que respecta a la aplicabilidad en sus implementaciones.

Estamos trabajando activamente con los socios de nuestro programa Microsoft Active Protections Program (MAPP) para proporcionar información que pueden usar para ofrecer una mayor protección a los clientes.

Una vez terminada la investigación, Microsoft adoptará las medidas apropiadas para proteger a sus clientes. Dichas medidas podrían incluir una actualización de seguridad en nuestra publicación mensual, o bien una actualización de seguridad fuera de ciclo, según las necesidades de los clientes.

Factores atenuantes:

• De forma predeterminada, IIS no está habilitado en ningún sistema operativo Windows compatible
• Los sitios que no permiten los tipos de contenido application/x-www-form-urlencoded o multipart/form-data HTTP no son vulnerables

Para obtener más información acerca de este problema, consulte las siguientes referencias:

Este documento informativo trata sobre el software que se indica a continuación.

Software afectado

*Las instalaciones Server Core están afectadas cuando el rol IIS está habilitado. Esto se aplica, con la misma clasificación de gravedad, a las ediciones compatibles de Windows Server 2008 o Windows Server 2008 R2 tal como se indica, independientemente de si se ha instalado con la opción de instalación Server Core. Para obtener más información acerca de esta opción de instalación, vea los artículos de TechNet Administración de una instalación Server Core y Mantenimiento de una instalación Server Core. Tenga en cuenta que la opción de instalación Server Core no se aplica a determinadas ediciones de Windows Server 2008 y Windows Server 2008 R2; vea Comparar opciones de instalación de Server Core.

**La instalación de Server Core no está afectada. Las vulnerabilidades corregidas por este documento informativo no afectan a las ediciones compatibles de Windows Server 2008 o Windows Server 2008 R2 tal como se indica, si se ha instalado con la opción de instalación Server Core. Para obtener más información acerca de esta opción de instalación, vea los artículos de TechNet Administración de una instalación Server Core y Mantenimiento de una instalación Server Core. Tenga en cuenta que la opción de instalación Server Core no se aplica a determinadas ediciones de Windows Server 2008 y Windows Server 2008 R2; vea Comparar opciones de instalación de Server Core.

^[1].NET Framework 4 y .NET Framework 4 Client Profile están afectados. Los paquetes redistribuibles de .NET Framework versión 4 están disponibles en dos perfiles: .NET Framework 4.0 y .NET Framework 4.0 Client Profile. .NET Framework 4.0 Client Profile es un subconjunto de .NET Framework 4.0. La vulnerabilidad descrita en este documento informativo afecta a .NET Framework 4.0 y .NET Framework 4.0 Client Profile. Para obtener más información, vea el artículo de MSDN Instalar .NET Framework.

Para mejorar las protecciones de seguridad de los clientes, Microsoft proporciona información acerca de las vulnerabilidades a los principales proveedores de software de seguridad antes de cada publicación mensual de las actualizaciones de seguridad. De este modo, los proveedores de software de seguridad pueden usar esta información para proporcionar protecciones actualizadas a los clientes mediante su software o dispositivos de seguridad, como, por ejemplo, antivirus, sistemas de detección de intrusiones de red o sistemas de prevención de intrusiones de host. Para determinar si hay disponibles protecciones activas en los proveedores de software de seguridad, visite los sitios web de protecciones activas que proporcionan los asociados, enumeradas en Asociados de Microsoft Active Protections Program (MAPP).

• Puede proporcionar comentarios si rellena el formulario de Ayuda y soporte técnico de Microsoft de contacto con el departamento de atención al cliente.

• Los clientes de Estados Unidos y Canadá pueden recibir soporte técnico del departamento de soporte técnico de seguridad. Para obtener más información acerca de las opciones de asistencia disponibles, vea Ayuda y soporte técnico de Microsoft.
• Los clientes internacionales pueden recibir soporte técnico en las subsidiarias de Microsoft de sus países. Para obtener más información acerca de cómo ponerse en contacto con Microsoft en relación con problemas de soporte técnico, visite Soporte técnico internacional.
• Microsoft TechNet Security
• proporciona información adicional acerca de la seguridad de los productos de Microsoft.

La información proporcionada en este documento informativo se suministra "tal cual", sin garantías de ningún tipo. Microsoft renuncia al otorgamiento de toda garantía, tanto expresa como implícita, incluidas las garantías de comerciabilidad e idoneidad para un determinado fin. Ni Microsoft Corporation ni sus proveedores se responsabilizarán en ningún caso de daños directos, indirectos, incidentales, consecuenciales, pérdida de beneficios o daños especiales, aun en el supuesto de que se hubiera informado a Microsoft Corporation o a sus proveedores de la posibilidad de dichos daños. Algunos estados de Estados Unidos no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, y, por tanto, la limitación anterior puede no ser aplicable en su caso.

• V1.0 (28 de diciembre de 2011): Publicación del documento informativo.