Boletín de seguridad de Microsoft MS08-075 - Crítica

El factor atenuante hace referencia a una opción, configuración común o práctica recomendada general, existente en un estado predeterminado, que podría reducir la gravedad de una vulnerabilidad. Los siguientes factores atenuantes podrían ser útiles en su situación:

• La vulnerabilidad no puede aprovecharse automáticamente mediante el correo electrónico. Un usuario debe abrir y guardar un archivo adjunto a un mensaje de correo electrónico para que un ataque tenga éxito.
• En el caso de un ataque basado en Web, el atacante podría hospedar un sitio web que contuviera un archivo de búsqueda guardada (.search-ms) especialmente diseñado. Además, los sitios web vulnerables y los sitios web que aceptan o alojan contenido o anuncios proporcionados por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. Los intentos de aprovechar esta vulnerabilidad requieren la interacción del usuario.
• Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.
• A los usuarios que ejecuten Internet Explorer 7 se les presentará un cuadro de diálogo en el que se indica que una página web intenta abrir contenido en el Explorador de Windows. En este cuadro de diálogo se pide al usuario que seleccione la opción "Permitir" o "No permitir" para el contenido, pero también permite que no se le vuelvan a mostrar mensajes de este tipo. Los usuarios que anteriormente hayan seleccionado "No volver a mostrar la advertencia acerca de este programa" para el Explorador de Windows no recibirán esta solicitud.

La solución provisional hace referencia a un cambio de opción o configuración que no corrige la vulnerabilidad subyacente pero ayuda a bloquear los tipos de ataque conocidos antes de aplicar la actualización. Microsoft ha probado las soluciones provisionales y señala en la explicación si una solución provisional reduce la funcionalidad

• Cambie temporalmente el tipo de archivo asociado a la extensión de archivo ".search-ms". Escriba el comando siguiente en el símbolo del sistema con privilegios elevados:

  assoc .search-ms=xmlfile

  Consecuencias de la solución provisional. Los archivos de búsqueda guardada se abrirán como archivos XML en Internet Explorer.

  Cómo deshacer la solución provisional. Escriba el comando siguiente en el símbolo del sistema con privilegios elevados:

  assoc .search-ms=SearchFolder

• Modifique el Registro para denegar a los usuarios la capacidad de abrir archivos de búsqueda guardada o para tener acceso a la carga de búsquedas guardadas.

  Para modificar la clave del Registro, siga estos pasos:

  Nota El uso incorrecto del Editor del Registro puede originar problemas graves que conlleven la reinstalación del sistema operativo. Microsoft no garantiza que los problemas derivados del uso incorrecto del Editor del Registro puedan resolverse. El uso del Editor del Registro es responsabilidad suya. Para obtener información sobre cómo editar el Registro, consulte el tema “Cambiar claves y valores” de la Ayuda del Editor del Registro (Regedit.exe) o los temas “Agregar y eliminar valores del Registro” y “Editar valores del Registro” de la Ayuda de Regedt32.exe.

  1. Haga clic en Inicio, haga clic en Ejecutar, en el cuadro Abrir escriba Regedit y, a continuación, haga clic en Aceptar.
  2. Busque y expanda la siguiente subclave del Registro:
     
     HKEY_CLASSES_ROOT\SearchFolder
     
     Haga clic en Edición y, a continuación, en Permisos.
     
     Nota Anote los permisos enumerados en este cuadro de diálogo de forma que pueda restaurar posteriormente los valores originales.
  3. Haga clic en Opciones avanzadas.
  4. Haga clic para desactivar la casilla Incluir todos los permisos heredables del objeto primario de este objeto. Se le pedirá que haga clic en Copiar, Quitar o Cancelar. Haga clic en Quitar y, a continuación, en Aceptar.
  5. Aparecerá un mensaje en el que se indica que nadie podrá tener acceso a esta clave del Registro. Haga clic en Sí y, a continuación, en Aceptar para cerrar el cuadro de diálogo Permisos para SearchFolder.

  Consecuencias de la solución provisional. Los usuarios no podrán abrir los archivos de búsqueda guardada ni obtener acceso a la carpeta de búsquedas guardadas.

  Cómo deshacer la solución provisional. Restaure los permisos configurados incluir todos los permisos heredables del objeto primario de este objeto en la clave del Registro; para ello, haga clic para activar Incluir todos los permisos heredables del objeto primario de este objeto y, a continuación, haga clic en Aceptar dos veces.

• Cancele el registro del tipo de archivo SearchFolder.

  Para modificar la clave del Registro, siga estos pasos:

  Nota El uso incorrecto del Editor del Registro puede originar problemas graves que conlleven la reinstalación del sistema operativo. Microsoft no garantiza que los problemas derivados del uso incorrecto del Editor del Registro puedan resolverse. El uso del Editor del Registro es responsabilidad suya. Para obtener información sobre cómo editar el Registro, consulte el tema “Cambiar claves y valores” de la Ayuda del Editor del Registro (Regedit.exe) o los temas “Agregar y eliminar valores del Registro” y “Editar valores del Registro” de la Ayuda de Regedt32.exe.

  Con el método interactivo

  1. Haga clic en Inicio, haga clic en Ejecutar, en el cuadro Abrir escriba Regedit y, a continuación, haga clic en Aceptar.
  2. Busque y haga clic en la siguiente subclave del Registro:
     
     HKEY_CLASSES_ROOT\SearchFolder
  3. Haga clic en el menú Archivo y seleccione Exportar.
  4. En el cuadro de diálogo Exportar archivo del Registro escriba SearchFolder_file_association_registry_backup.reg y haga clic en Guardar.
     
     Nota De este modo se creará una copia de seguridad de esta clave del Registro en la carpeta Mis Documentos de forma predeterminada.
  5. Presione la tecla Supr en el teclado para eliminar la clave del Registro. Cuando se le pregunte si desea eliminar la clave del Registro en el cuadro de diálogo Confirmar la eliminación de clave, haga clic en Sí.

  Con una secuencia de comandos de implementación administrada

  1. Cree una copia de seguridad de las claves del Registro con una secuencia de comandos de implementación administrada que contenga los siguientes comandos:
     
     Regedit.exe /e SearchFolder_registry_backup.reg
     HKEY_CLASSES_ROOT\SearchFolder
  2. Después, guarde lo siguiente en un archivo con la extensión .REG, por ejemplo Delete_SearchFolder_file_association.reg:
     
     Editor del Registro de Windows versión 5.00
     [-HKEY_CLASSES_ROOT\SearchFolder]
  3. Ejecute la secuencia de comandos del Registro anterior en el equipo de destino con el siguiente comando desde un símbolo del sistema con privilegios elevados:
     
     Regedit.exe /s Delete_SearchFolder_file_association.reg

  Consecuencias de la solución provisional. Al hacer doble clic en una carpeta de búsquedas guardadas ya no abrirá una ventana que muestra los resultados de la búsqueda.

  Cómo deshacer la solución provisional:

  Con el método interactivo

  1. Haga clic en Inicio, haga clic en Ejecutar, en el cuadro Abrir escriba Regedit y, a continuación, haga clic en Aceptar.
  2. Haga clic en el menú Archivo y seleccione Importar.
  3. En el cuadro de diálogo Importar archivo del Registro seleccione SearchFolder_file_association_registry_backup.reg y haga clic en Abrir.

  Con una secuencia de comandos de implementación administrada

  Restaure el estado original ejecutando el siguiente comando:
  
  Regedit.exe /s SearchFolder_registry_backup.reg

¿Cuál es el alcance de esta vulnerabilidad?  
Se trata de una vulnerabilidad de ejecución remota de código. Si un usuario inicia sesión con derechos de usuario administrativos, un intruso que aprovechara esta vulnerabilidad podría lograr el control completo de un sistema afectado. De esta forma, un intruso podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con todos los derechos de usuario. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.

¿Cuál es la causa de esta vulnerabilidad?  
El Explorador de Windows no libera la memoria correctamente al guardar archivos de Búsqueda de Windows.

¿Qué es Búsqueda de Windows?  
Búsqueda de Windows es un componente estándar de Windows Vista y Windows Server 2008 que está habilitado de forma predeterminada. Búsqueda de Windows permite capacidades de búsqueda instantánea para la mayoría de los tipos de archivo y datos habituales, como correo electrónico, contactos, citas del calendario, documentos, fotografías, multimedia y otros formatos ampliados por terceros. Estas capacidades permiten que los usuarios y los trabajadores de la información busquen, administren y organicen de forma más eficaz la cantidad de datos cada vez mayor en entornos domésticos y empresariales. Para obtener más información, visite la página principal de Búsqueda de Windows.

¿El componente Búsqueda de Windows disponible para Windows XP está afectado por este problema?
No. Aunque Búsqueda de Windows es un complemento opcional de Windows XP, no está afectado por este problema.

¿Para qué puede usar un atacante esta vulnerabilidad?  
Un atacante que consiguiera aprovechar con éxito esta vulnerabilidad podría ejecutar código arbitrario en el sistema del usuario. Si un usuario inicia sesión con derechos de usuario administrativos, un intruso que aprovechara esta vulnerabilidad podría lograr el control completo de un sistema afectado. De esta forma, un intruso podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con todos los derechos de usuario. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.

¿Cómo podría aprovechar un atacante la vulnerabilidad?  
Esta vulnerabilidad requiere que un usuario abra y guarde un archivo de búsqueda guardada especialmente diseñado con una versión afectada del Explorador de Windows.

En el supuesto de un ataque por correo electrónico, un atacante podría aprovechar la vulnerabilidad si envía al usuario un archivo de búsqueda guardada especialmente diseñado y lo convence de que lo abra. Después de abrir el archivo, el usuario tendría que guardar el archivo de búsqueda guardada para aprovechar la vulnerabilidad. La vulnerabilidad se produce independientemente de dónde se guarde la búsqueda.

En el caso de un ataque a través de Web, el atacante tendría que alojar un sitio web que contuviera un archivo de búsqueda guardada destinado a intentar aprovechar esta vulnerabilidad. Además, los sitios web vulnerables y los sitios web que aceptan o alojan contenido proporcionado por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. El atacante tendría que convencer al usuario para abriera y guardara un archivo de búsqueda especialmente diseñado. El atacante no podría obligar a los usuarios a visitar un sitio web especialmente diseñado. Por lo tanto, tendría que atraerlos al sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio del atacante.

¿Qué sistemas están más expuestos a esta vulnerabilidad?  
Los sistemas con más riesgo de sufrir un ataque son las estaciones de trabajo y los servidores de Servicios de Terminal Server. Los servidores podrían correr un mayor riesgo si los administradores permiten a los usuarios iniciar sesión en los servidores y ejecutar programas. Sin embargo, las prácticas recomendadas desaconsejan permitir esto.

¿Cómo funciona esta actualización?  
La actualización corrige la vulnerabilidad al modificar la manera en que el Explorador de Windows libera memoria al guardar archivos de Búsqueda de Windows.

En el momento de publicar este boletín de seguridad, ¿se había divulgado ya esta vulnerabilidad?  
No. Microsoft recibió información acerca de esta vulnerabilidad a través de una fuente responsable. En el momento de emitir este boletín de seguridad, Microsoft no había recibido información alguna que indicara que esta vulnerabilidad se hubiera divulgado. Este boletín de seguridad trata la vulnerabilidad divulgada de forma privada, así como problemas adicionales descubiertos por medio de investigaciones internas.

En el momento de publicar este boletín de seguridad, ¿había recibido Microsoft algún informe que indicase que se estaba usando esta vulnerabilidad?  
No. En el momento de publicar este boletín de seguridad, Microsoft no había recibido información que indicara que esta vulnerabilidad se hubiera utilizado para atacar a clientes y no tenía constancia de que se hubiera publicado código demostrativo.

El factor atenuante hace referencia a una opción, configuración común o práctica recomendada general, existente en un estado predeterminado, que podría reducir la gravedad de una vulnerabilidad. Los siguientes factores atenuantes podrían ser útiles en su situación:

• En el caso de un ataque basado en Web, el atacante podría hospedar un sitio web que contuviera una dirección URL de Búsqueda de Windows (search-ms://) especialmente diseñada. Además, los sitios web vulnerables y los sitios web que aceptan o alojan contenido o anuncios proporcionados por el usuario podrían incluir contenido especialmente diseñado que permita aprovechar esta vulnerabilidad. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. Los intentos de aprovechar esta vulnerabilidad requieren la interacción del usuario.
• Un intruso que aprovechara esta vulnerabilidad podría conseguir el mismo nivel de derechos de usuario que el usuario local. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.
• A los clientes que ejecutan Internet Explorer 7 con la configuración predeterminada se les muestra una advertencia emergente en la que se les pregunta si desean permitir que la página web se comunique con el Explorador de Windows. La configuración predeterminada es no permitir la comunicación.
• Windows Vista y los sistemas Windows Server 2008 mostrarán un cuadro de diálogo de advertencia antes de ejecutar un programa desde fuera de la intranet. Esta advertencia no se mostrará si el atacante intenta hacer referencia a un ejecutable dentro de la intranet o en el equipo del objetivo.

La solución provisional hace referencia a un cambio de opción o configuración que no corrige la vulnerabilidad subyacente pero ayuda a bloquear los tipos de ataque conocidos antes de aplicar la actualización. Microsoft ha probado las soluciones provisionales y señala en la explicación si una solución provisional reduce la funcionalidad

• Deshabilite el controlador de protocolo search-ms en el Explorador de Windows

  Nota La reparación de Office o la instalación de una actualización de seguridad de Office puede deshacer esta solución provisional.

  Advertencia Si utiliza el Editor del Registro incorrectamente, puede provocar problemas graves que conlleven la reinstalación del sistema operativo. Microsoft no le garantiza que pueda resolver los problemas provocados por el uso incorrecto del Editor del Registro. El uso del Editor del Registro es responsabilidad suya. Para obtener información sobre cómo editar el Registro, consulte el tema “Cambiar claves y valores” de la Ayuda del Editor del Registro (Regedit.exe) o los temas “Agregar y eliminar valores del Registro” y “Editar valores del Registro” de la Ayuda de Regedt32.exe.

  Nota Es recomendable realizar una copia de seguridad del Registro antes de modificarlo.

  Para modificar la clave del Registro, siga estos pasos:

  Con el método interactivo

  1. Haga clic en Inicio, en Ejecutar, escriba "regedit" (sin las comillas) en el cuadro Abrir y, a continuación, haga clic en Aceptar.
  2. Busque y expanda la siguiente subclave del Registro:
  3. HKEY_CLASSES_ROOT\search-ms\shell\open.
  4. Haga clic en Comando.
  5. Haga clic en el menú Archivo y seleccione Exportar.
  6. En el cuadro de diálogo Exportar archivo del Registro escriba "Search-ms_pluggable_protocol_registry_backup.reg" y, a continuación, haga clic en Guardar.
  7. Edite el valor del Registro (Predeterminado); para ello, haga doble clic en él. Borre todos los datos del campo Información del valor.
  8. Haga clic en Aceptar.

  Con una secuencia de comandos de implementación administrada

  1. Cree una copia de seguridad de las claves del Registro con una secuencia de comandos de implementación administrada que contenga el siguiente comando:
     
     regedit /e Search-ms_pluggable_protocol_registry_backup.reg HKEY_CLASSES_ROOT\search-ms\shell\open\command.
  2. Después, guarde lo siguiente en un archivo con la extensión .REG, por ejemplo
     "Disable_search-ms_pluggable_protocol.reg":
     
     Editor del Registro de Windows versión 5.00
     [HKEY_CLASSES_ROOT\search-ms\shell\open\command]
     @=""
  3. Ejecute la secuencia de comandos del Registro anterior en el equipo de destino con el siguiente comando desde un símbolo del sistema con privilegios elevados:
     
     Regedit.exe /s Disable_ search-ms_pluggable_protocol.reg

  Consecuencias de la solución provisional.

  Las páginas web no podrán iniciar búsquedas de Windows.

  Cómo deshacer la solución provisional.

  Con el método interactivo

  1. Haga clic en Inicio, haga clic en Ejecutar, en el cuadro Abrir escriba Regedit y, a continuación, haga clic en Aceptar.
  2. Haga clic en el menú Archivo y seleccione Importar.
  3. En el cuadro de diálogo Importar archivo del Registro seleccione "Search-ms_pluggable_protocol_registry_backup.reg" y haga clic en Abrir.

  Con una secuencia de comandos de implementación administrada

• Restaure el estado original ejecutando el siguiente comando:
  
  Regedit.exe /s Search-ms_pluggable_protocol_registry_backup.reg

¿Cuál es el alcance de esta vulnerabilidad?  
Se trata de una vulnerabilidad de ejecución remota de código. Si un usuario inicia sesión con derechos de usuario administrativos, un intruso que aprovechara esta vulnerabilidad podría lograr el control completo de un sistema afectado. De esta forma, un intruso podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con todos los derechos de usuario. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.

¿Cuál es la causa de esta vulnerabilidad?  
El Explorador de Windows no interpreta correctamente los parámetros al analizar el protocolo search-ms.

¿Qué es el protocolo search-ms?  
El protocolo de aplicación search-ms es una convención para consultar el índice de Búsqueda de Windows. El protocolo permite que aplicaciones como el Explorador de Microsoft Windows consulten el índice con argumentos de valor de parámetro, incluidos los argumentos de propiedad, consultas guardadas anteriormente, sintaxis de consulta avanzada, sintaxis de consulta natural e identificadores de código de idioma (LCID) tanto para el indizador como para la consulta. Para obtener más información, vea el siguiente artículo de MSDN.

¿El componente Búsqueda de Windows disponible para Windows XP está afectado por este problema?
No. Aunque Búsqueda de Windows es un complemento opcional de Windows XP, no está afectado por este problema.

¿Para qué puede usar un atacante esta vulnerabilidad?  
Un atacante que consiguiera aprovechar con éxito esta vulnerabilidad podría ejecutar código arbitrario en el sistema del usuario. Si un usuario inicia sesión con derechos de usuario administrativos, un intruso que aprovechara esta vulnerabilidad podría lograr el control completo de un sistema afectado. De esta forma, un intruso podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas nuevas con todos los derechos de usuario. Por tanto, los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que aquellos que cuenten con derechos de usuario administrativos.

¿Cómo podría aprovechar un atacante la vulnerabilidad?  
Un atacante podría alojar un sitio web especialmente diseñado para aprovechar la vulnerabilidad y convencer a un usuario para que visite el sitio web. El atacante también podría aprovechar sitios web vulnerables y sitios web que aceptan o reciben contenido o anuncios proporcionados por el usuario. Estos sitios web podrían incluir contenido malintencionado a través del cual se podría aprovechar esta vulnerabilidad. Sin embargo, el atacante no podría en ningún caso obligar a los usuarios a visitar estos sitios web. Por lo tanto, tendría que atraerlos al sitio web; por lo general, convenciéndoles para que hagan clic en un vínculo de un mensaje de correo electrónico o de Instant Messenger que lleve a los usuarios al sitio web del atacante.

¿Qué sistemas están más expuestos a esta vulnerabilidad?  
Los sistemas con más riesgo de sufrir un ataque son las estaciones de trabajo y los servidores de Servicios de Terminal Server. Los servidores podrían correr un mayor riesgo si los administradores permiten a los usuarios iniciar sesión en los servidores y ejecutar programas. Sin embargo, las prácticas recomendadas desaconsejan permitir esto.

¿Cómo funciona esta actualización?  
La actualización de seguridad corrige la vulnerabilidad al modificar la manera en que el Explorador de Windows interpreta los parámetros al analizar el protocolo search-ms.

En el momento de publicar este boletín de seguridad, ¿se había divulgado ya esta vulnerabilidad?  
No. Microsoft recibió información acerca de esta vulnerabilidad a través de una fuente responsable. En el momento de emitir este boletín de seguridad, Microsoft no había recibido información alguna que indicara que esta vulnerabilidad se hubiera divulgado. Este boletín de seguridad trata la vulnerabilidad divulgada de forma privada, así como problemas adicionales descubiertos por medio de investigaciones internas.

En el momento de publicar este boletín de seguridad, ¿había recibido Microsoft algún informe que indicase que se estaba usando esta vulnerabilidad?  
No. En el momento de publicar este boletín de seguridad, Microsoft no había recibido información que indicara que esta vulnerabilidad se hubiera utilizado para atacar a clientes y no tenía constancia de que se hubiera publicado código demostrativo.

Tabla de referencia

La tabla siguiente contiene la información de actualización de seguridad para este software. Puede encontrar información adicional en la subsección Información sobre la implementación, en esta sección.

Tabla de referencia

La tabla siguiente contiene la información de actualización de seguridad para este software. Puede encontrar información adicional en la subsección Información sobre la implementación, en esta sección.