Boletín de seguridad de Microsoft MS12-040 - Importante

El factor atenuante hace referencia a una opción, configuración común o práctica recomendada general, existente en un estado predeterminado, que podría reducir la gravedad de una vulnerabilidad. Los siguientes factores atenuantes podrían ser útiles en su situación:

• En el caso de un ataque basado en web, el intruso podría hospedar un sitio web que contuviera una página web para aprovechar esta vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan u hospedan contenido o anuncios proporcionados por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. En su lugar, el atacante tendría que persuadir a los usuarios para que visitaran el sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio web del atacante y para que hagan clic en una dirección URL especialmente diseñada para aprovechar la vulnerabilidad.
• Los usuarios de Internet Explorer 8 e Internet Explorer 9 que exploran un sitio de Microsoft Dynamics AX 2012 Enterprise Portal en la zona Internet están menos expuestos. De forma predeterminada, el filtro XSS en Internet Explorer 8 e Internet Explorer 9 evita este ataque en la zona Internet. No obstante, el filtro XSS en Internet Explorer 8 e Internet Explorer 9 no está habilitado de forma predeterminada en la zona Intranet.
• La vulnerabilidad no puede aprovecharse automáticamente mediante el correo electrónico. Un usuario debe hacer clic en una dirección URL especialmente diseñada enviada en un mensaje de correo electrónico para que se pueda llevar a cabo el ataque.

La solución provisional hace referencia a un cambio de opción o configuración que no corrige la vulnerabilidad subyacente pero ayuda a bloquear los tipos de ataque conocidos antes de aplicar la actualización. Microsoft ha probado las soluciones provisionales y señala en la explicación si una solución provisional reduce la funcionalidad:

• Habilitar el filtro XSS de Internet Explorer 8 e Internet Explorer 9 en la zona de seguridad Intranet local

  Puede protegerse de esta vulnerabilidad si cambia la configuración para habilitar el filtro XSS en la zona de seguridad Intranet local. (El filtro XSS está habilitado de forma predeterminada en la zona de seguridad Internet). Para ello, siga estas indicaciones:

  1. En Internet Explorer 8 o Internet Explorer 9, haga clic en Opciones de Internet en el menú Herramientas.
  2. Haga clic en la ficha Seguridad.
  3. Haga clic en Intranet local y, a continuación, haga clic en Nivel personalizado.
  4. En Configuración, en la sección Scripting, en Habilitar filtro XSS, haga clic en Habilitar y, a continuación, en Aceptar.
  5. Haga clic en Aceptar dos veces para volver a Internet Explorer.

  Consecuencias de la solución provisional. Se podrían marcar los sitios internos que anteriormente no se marcaron como expuestos a XSS.

  Cómo deshacer la solución provisional.

  Para deshacer esta solución provisional, realice los pasos siguientes:

  1. En Internet Explorer 8 o Internet Explorer 9, haga clic en Opciones de Internet en el menú Herramientas.
  2. Haga clic en la ficha Seguridad.
  3. Haga clic en Intranet local y, a continuación, haga clic en Nivel personalizado.
  4. En Configuración, en la sección Scripting, en Habilitar filtro XSS, haga clic en Deshabilitar y, a continuación, en Aceptar.
  5. Haga clic en Aceptar dos veces para volver a Internet Explorer.

¿Cuál es el alcance de esta vulnerabilidad? 
Se trata de una vulnerabilidad de scripts de sitios que podría dar como resultado la elevación de privilegios o la divulgación de información.

¿Cuál es el componente afectado por esta vulnerabilidad? 
Está afectado el componente Enterprise Portal de Microsoft Dynamics AX 2012.

¿Cuál es la causa de esta vulnerabilidad? 
La vulnerabilidad se produce cuando Microsoft Dynamics AX Enterprise Portal no trata correctamente los elementos JavaScript malintencionados que están incluidos en una dirección URL especialmente diseñada, lo que permite que el script se muestre en el explorador del usuario.

¿Qué son los scripts de sitios? 
Los scripts de sitios (XSS) son un tipo de vulnerabilidad de seguridad que puede permitir a un atacante insertar código en la sesión de un usuario en un sitio web. La vulnerabilidad puede afectar a servidores web que generan dinámicamente páginas HTML. Si estos servidores incrustan entradas del explorador en las páginas dinámicas que devuelven al explorador, sería posible manipular los servidores de modo que incluyan en las páginas dinámicas contenido. que permita la ejecución de código dañino. Los exploradores web podrían perpetuar el problema por medio de las suposiciones de sitios de confianza y el uso de cookies para mantener un estado permanente con los sitios web que frecuentan. Un ataque de XSS no modifica el contenido de un sitio web; más bien inserta código dañino nuevo que puede ejecutar en el explorador en el contexto asociado con un servidor de confianza.

¿Para qué puede usar un atacante esta vulnerabilidad? 
Un atacante que aprovechara esta vulnerabilidad podría leer el contenido para el que no tuviera autorización, usar la identidad de la víctima para realizar acciones en el sitio de Microsoft Dynamics AX Enterprise Portal en nombre de la víctima, como cambiar los permisos y eliminar contenido, e insertar contenido malintencionado en el explorador de la víctima.

¿Cómo podría aprovechar un atacante la vulnerabilidad? 
Para que se aproveche esta vulnerabilidad, el usuario debe hacer clic en una URL especialmente diseñada que le lleve a un sitio de Microsoft Dynamics AX Enterprise Portal de destino que muestre el script en el explorador del usuario.

En un ataque por correo electrónico, el atacante puede aprovechar la vulnerabilidad si envía un mensaje de correo electrónico con una dirección URL especialmente diseñada al usuario del sitio de Microsoft Dynamics AX Enterprise Portal afectado y lo convence para que haga clic en la dirección URL especialmente diseñada.

En el caso de un ataque a través de web, el atacante tendría que hospedar un sitio web que contuviera una dirección URL especialmente diseñada al sitio Microsoft Dynamics AX Enterprise Portal afectado destinada a intentar aprovechar esta vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan u hospedan contenido proporcionado por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. El atacante no podría obligar a los usuarios a visitar un sitio web especialmente diseñado. En su lugar, el atacante tendría que persuadirles para que visitaran el sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio web del atacante y para que hagan clic en la dirección URL especialmente diseñada.

¿Qué sistemas están más expuestos a esta vulnerabilidad? 
Los sistemas donde los usuarios se conectan a un servidor de Microsoft Dynamics AX 2012 Enterprise Portal, como las estaciones de trabajo o los servidores de Terminal Server, son los más expuestos.

¿Qué es el filtro de scripts de sitios (XSS) de Internet Explorer 8 e Internet Explorer 9? 
Los ataques de secuencias de comandos de sitios intentan aprovechar las vulnerabilidades de los sitios web que usa. Los ataques de scripts de sitios han surgido como una de las principales amenazas en línea, por lo que Internet Explorer 8 e Internet Explorer 9 incluyen un filtro que puede detectar estos tipos de ataques y deshabilitar los scripts peligrosos. De forma predeterminada, el filtro de scripts de sitios se activa en Internet Explorer 8 e Internet Explorer 9 para la zona Internet.

¿Cómo funciona esta actualización? 
La actualización corrige la vulnerabilidad al modificar la forma en que Microsoft Dynamics AX 2012 Enterprise Portal valida y sanea la entrada del usuario.

En el momento de emitir este boletín de seguridad, ¿se había divulgado ya esta vulnerabilidad? 
No. Microsoft recibió información acerca de esta vulnerabilidad a través de una fuente de divulgación de vulnerabilidades coordinada.

En el momento de publicar este boletín de seguridad, ¿había recibido Microsoft algún informe que indicase que se estaba usando esta vulnerabilidad? 
No. En el momento de publicar este boletín de seguridad, Microsoft no había recibido ninguna información que indicara que esta vulnerabilidad se hubiera utilizado para atacar a clientes.

Tabla de referencia

La tabla siguiente contiene la información de actualización de seguridad para este software. Puede encontrar información adicional en la subsección Información sobre la implementación, en esta sección.