Launch Printer Friendly Page Security TechCenter > Boletines de seguridad > Boletín de seguridad de Microsoft MS10-041

Boletín de seguridad de Microsoft MS10-041 - Importante

Una vulnerabilidad en Microsoft .NET Framework podría permitir la alteración (981343)

Publicado: | Actualizado:

Versión: 1.3

Información general

Resumen ejecutivo

Esta actualización de seguridad resuelve una vulnerabilidad de la que se ha informado de forma pública en Microsoft .NET Framework. La vulnerabilidad podría permitir la alteración del contenido XML firmado sin que se detecte. En las aplicaciones personalizadas, la repercusión de seguridad depende del modo en que se usa el contenido firmado en la aplicación específica. Los escenarios en los que los mensajes XML firmados se transmiten a través de un canal seguro (como SSL) no están afectados por esta vulnerabilidad.

Esta actualización de seguridad se considera crítica para todas las ediciones afectadas de Microsoft .NET Framework para Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7 y Windows Server 2008 R2. Para obtener más información, vea la subsección Software afectado y no afectado , en esta sección.

La actualización de seguridad corrige la vulnerabilidad al cambiar la forma en que la recomendación XMLDsig se ha implementado en Microsoft .NET Framework. Para obtener más información acerca de la vulnerabilidad, consulte la subsección Preguntas más frecuentes (P+F) de la entrada de vulnerabilidad específica en la sección siguiente, Información sobre la vulnerabilidad .

Recomendación.  La mayoría de los clientes tienen habilitada la actualización automática y no deben realizar ninguna acción porque esta actualización de seguridad se descargará e instalará automáticamente. Los clientes que no han habilitado la actualización automática deben buscar las actualizaciones e instalar esta actualización manualmente. Para obtener información sobre las opciones de configuración específicas de la actualización automática, vea el artículo 294871 de Microsoft Knowledge Base .

Para administradores e instalaciones empresariales, o usuarios finales que deseen instalar esta actualización de seguridad manualmente, Microsoft recomienda que los clientes apliquen la actualización a la primera oportunidad con el software de administración de actualizaciones o busquen las actualizaciones con el servicio Microsoft Update .

Vea también la sección Herramientas y consejos para la detección e implementación , más adelante en este boletín.

Problemas conocidos.  En el artículo 981343 de Microsoft Knowledge Base se señalan los problemas detectados que pueden experimentar los clientes al instalar esta actualización de seguridad. Se documentan asimismo las soluciones propuestas.

Software afectado y no afectado

El software siguiente se ha probado para determinar las versiones o ediciones que están afectadas. Otras versiones o ediciones han llegado al final de su ciclo de vida o no están afectadas. Para determinar el ciclo de vida del soporte técnico de su versión o edición de software, visite Ciclo de vida del soporte técnico de Microsoft .

Software afectado

Sistema operativo Componente Repercusión de seguridad máxima Clasificación de gravedad acumulada Boletines reemplazados por esta actualización
Microsoft Windows 2000
Microsoft Windows 2000 Service Pack 4 Microsoft .NET Framework 1.1 Service Pack 1
(KB979906)
Alteración Importante MS09-061
Microsoft Windows 2000 Service Pack 4 Microsoft .NET Framework 2.0 Service Pack 2
(KB979909)
Alteración Importante Ninguna
Windows XP
Windows XP Service Pack 2 Microsoft .NET Framework 1.0 Service Pack 3
(KB979904)

(Windows XP Media Center Edition 2005 únicamente)

Alteración Importante Ninguna
Windows XP Service Pack 3 Microsoft .NET Framework 1.0 Service Pack 3
(KB979904)

(Windows XP Media Center Edition 2005 y Windows XP Tablet PC Edition 2005 únicamente)

Alteración Importante Ninguna
Windows XP Service Pack 2 y Windows XP Service Pack 3 Microsoft .NET Framework 1.1 Service Pack 1
(KB979906)

Alteración Importante MS09-061
Windows XP Service Pack 2 y Windows XP Service Pack 3 Microsoft .NET Framework 3.5
(KB982865)

Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1
(KB979909)
Alteración Importante Ninguna
Windows XP Professional x64 Edition Service Pack 2 Microsoft .NET Framework 1.1 Service Pack 1
(KB979906)
Alteración Importante MS09-061
Windows XP Professional x64 Edition Service Pack 2 Microsoft .NET Framework 3.5
(KB982865)

Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1
(KB979909)
Alteración Importante Ninguna
Windows Server 2003
Windows Server 2003 Service Pack 2 Microsoft .NET Framework 1.1 Service Pack 1
(KB979907)

Microsoft .NET Framework 3.5
(KB982865)

Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1
(KB979909)
Alteración Importante Ninguna
Windows Server 2003 x64 Edition Service Pack 2 Microsoft .NET Framework 1.1 Service Pack 1
(KB979906)
Alteración Importante MS09-061
Windows Server 2003 x64 Edition Service Pack 2 Microsoft .NET Framework 3.5
(KB982865)

Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1
(KB979909)
Alteración Importante Ninguna
Windows Server 2003 con SP2 para sistemas con Itanium Microsoft .NET Framework 1.1 Service Pack 1
(KB979906)
Alteración Importante MS09-061
Windows Server 2003 con SP2 para sistemas con Itanium Microsoft .NET Framework 3.5
(KB982865)

Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1
(KB979909)
Alteración Importante Ninguna
Windows Vista
Windows Vista Service Pack 1 y Windows Vista Service Pack 2 Microsoft .NET Framework 1.1 Service Pack 1
(KB979906)
Alteración Importante MS09-061
Windows Vista Service Pack 1 Microsoft .NET Framework 2.0 Service Pack 1 y Microsoft .NET Framework 3.5
(KB979913)
Alteración Importante MS09-036
Windows Vista Service Pack 1 Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1
(KB979911)
Alteración Importante Ninguna
Windows Vista Service Pack 2 Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1
(KB979910)
Alteración Importante Ninguna
Windows Vista x64 Edition Service Pack 1 y Windows Vista x64 Edition Service Pack 2 Microsoft .NET Framework 1.1 Service Pack 1
(KB979906)
Alteración Importante MS09-061
Windows Vista x64 Edition Service Pack 1 Microsoft .NET Framework 2.0 Service Pack 1 y Microsoft .NET Framework 3.5
(KB979913)
Alteración Importante MS09-036
Windows Vista x64 Edition Service Pack 1 Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1
(KB979911)
Alteración Importante Ninguna
Windows Vista x64 Edition Service Pack 2 Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1
(KB979910)
Alteración Importante Ninguna
Windows Server 2008
Windows Server 2008 para sistemas de 32 bits y Windows Server 2008 para sistemas de 32 bits Service Pack 2 Microsoft .NET Framework 1.1 Service Pack 1 **
(KB979906)
Alteración Importante MS09-061
Windows Server 2008 para sistemas de 32 bits Microsoft .NET Framework 2.0 Service Pack 1 y Microsoft .NET Framework 3.5 **
(KB979913)
Alteración Importante MS09-036
Windows Server 2008 para sistemas de 32 bits Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1 **
(KB979911)
Alteración Importante Ninguna
Windows Server 2008 para sistemas de 32 bits Service Pack 2 Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1 **
(KB979910)
Alteración Importante Ninguna
Windows Server 2008 para sistemas x64 y Windows Server 2008 para sistemas x64 Service Pack 2 Microsoft .NET Framework 1.1 Service Pack 1 **
(KB979906)
Alteración Importante MS09-061
Windows Server 2008 para sistemas x64 Microsoft .NET Framework 2.0 Service Pack 1 y Microsoft .NET Framework 3.5 **
(KB979913)
Alteración Importante MS09-036
Windows Server 2008 para sistemas x64 Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1 **
(KB979911)
Alteración Importante Ninguna
Windows Server 2008 para sistemas x64 Service Pack 2 Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1 **
(KB979910)
Alteración Importante Ninguna
Windows Server 2008 para sistemas con Itanium y Windows Server 2008 para sistemas con Itanium Service Pack 2 Microsoft .NET Framework 1.1 Service Pack 1
(KB979906)
Alteración Importante MS09-061
Windows Server 2008 para sistemas con Itanium Microsoft .NET Framework 2.0 Service Pack 1 y Microsoft .NET Framework 3.5
(KB979913)
Alteración Importante MS09-036
Windows Server 2008 para sistemas con Itanium Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1
(KB979911)
Alteración Importante Ninguna
Windows Server 2008 para sistemas con Itanium Service Pack 2 Microsoft .NET Framework 2.0 Service Pack 2 y Microsoft .NET Framework 3.5 Service Pack 1
(KB979910)
Alteración Importante Ninguna
Windows 7
Windows 7 para sistemas de 32 bits Microsoft .NET Framework 3.5.1
(KB979916)
Alteración Importante Ninguna
Windows 7 para sistemas x64 Microsoft .NET Framework 3.5.1
(KB979916)
Alteración Importante Ninguna
Windows Server 2008 R2
Windows Server 2008 R2 para sistemas x64 Microsoft .NET Framework 3.5.1 *
(KB979916)
Alteración Importante Ninguna
Windows Server 2008 R2 para sistemas con Itanium Microsoft .NET Framework 3.5.1
(KB979916)
Alteración Importante Ninguna

*La instalación de Server Core está afectada. Esta actualización se aplica, con la misma clasificación de gravedad, a las ediciones compatibles de Windows Server 2008 R2 tal como se indica, independientemente de si se ha instalado con la opción de instalación Server Core. Para obtener más información acerca de esta opción de instalación, vea el artículo de MSDN Server Core para Windows Server 2008 R2 . Tenga en cuenta que la opción de instalación Server Core no se aplica a determinadas ediciones de Windows Server 2008 y Windows Server 2008 R2; vea Comparación de las opciones de instalación Server Core .

**La instalación de Server Core no está afectada. Las vulnerabilidades corregidas por esta actualización no afectan a las ediciones compatibles de Windows Server 2008 tal como se indica, si se ha instalado con la opción de instalación Server Core. Para obtener más información acerca de esta opción de instalación, vea el artículo de MSDN, Server Core . Tenga en cuenta que la opción de instalación Server Core no se aplica a determinadas ediciones de Windows Server 2008; vea Comparar opciones de instalación de Server Core .

Software no afectado

Sistema operativo Microsoft .NET Framework
Todas versiones compatibles de Microsoft Windows Microsoft .NET Framework 3.0
Todas versiones compatibles de Microsoft Windows Microsoft .NET Framework 3.0 Service Pack 1
Todas versiones compatibles de Microsoft Windows Microsoft .NET Framework 3.0 Service Pack 2
Windows Vista Service Pack 2 Microsoft .NET Framework 3.5
Windows Vista x64 Edition Service Pack 2 Microsoft .NET Framework 3.5
Windows Server 2008 Service Pack 2 Microsoft .NET Framework 3.5
Windows Server 2008 para sistemas x64 Service Pack 2 Microsoft .NET Framework 3.5
Windows Server 2008 con SP2 para sistemas con Itanium Microsoft .NET Framework 3.5
Todas versiones compatibles de Microsoft Windows Microsoft .NET Framework 4.0

Preguntas más frecuentes (P+F) relacionadas con esta actualización de seguridad

Información sobre la vulnerabilidad

Gravedad e identificadores de vulnerabilidad

Vulnerabilidad de omisión de autenticación de truncamiento HMAC de firma XML (CVE-2009-0217)

Información sobre la actualización

Herramientas y consejos para la detección e implementación

Implementación de la actualización de seguridad

Información adicional:

Agradecimientos

Microsoft muestra su agradecimiento a todas las personas que han trabajado con nosotros para proteger a los clientes:

  • Arian Evans, de WhiteHat Security , por informar del problema de omisión en la validación de solicitud ASP.NET que se corrige en este boletín mediante un cambio de defensa en profundidad

Microsoft Active Protections Program (MAPP)

Para mejorar las protecciones de seguridad de los clientes, Microsoft proporciona información acerca de las vulnerabilidades a los principales proveedores de software de seguridad antes de cada publicación mensual de las actualizaciones de seguridad. De este modo, los proveedores de software de seguridad pueden usar esta información para proporcionar protecciones actualizadas a los clientes mediante su software o dispositivos de seguridad, como, por ejemplo, antivirus, sistemas de detección de intrusiones de red o sistemas de prevención de intrusiones de host. Para determinar si hay disponibles protecciones activas en los proveedores de software de seguridad, visite los sitios web de protecciones activas que proporcionan los asociados, enumeradas en Asociados de Microsoft Active Protections Program (MAPP) .

Soporte técnico

  • Los clientes de Estados Unidos y Canadá pueden recibir soporte técnico del soporte de seguridad o en el teléfono 1-866-PCSAFETY. Las llamadas de soporte técnico relacionadas con las actualizaciones de seguridad son gratuitas. Para obtener más información acerca de las opciones de asistencia disponibles, visite Ayuda y soporte técnico de Microsoft .
  • Los clientes internacionales pueden recibir soporte técnico en las subsidiarias de Microsoft de sus países. Las llamadas de soporte técnico relacionadas con las actualizaciones de seguridad son gratuitas. Para obtener más información acerca de cómo ponerse en contacto con Microsoft en relación con problemas de soporte técnico, visite el sitio web de soporte técnico internacional de Microsoft .

Renuncia

La información proporcionada en Microsoft Knowledge Base se suministra" tal cual" , sin garantía de ningún tipo. Microsoft renuncia al otorgamiento de toda garantía, tanto expresa como implícita, incluidas las garantías de comerciabilidad e idoneidad para un determinado fin. Ni Microsoft Corporation ni sus proveedores se responsabilizarán en ningún caso de daños directos, indirectos, incidentales, consecuenciales, pérdida de beneficios o daños especiales, aun en el supuesto de que se hubiera informado a Microsoft Corporation o a sus proveedores de la posibilidad de dichos daños. Algunos estados de Estados Unidos no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, y, por tanto, la limitación anterior puede no ser aplicable en su caso.

Revisiones

  • V1.0 (8 de junio de 2010): Publicación del boletín.
  • V1.1 (16 de junio de 2010): Se ha corregido la comprobación de la clave del Registro para Microsoft .NET Framework 2.0 Service Pack 2.
  • V1.2 (22 de junio de 2010): Se ha revisado este boletín para anunciar un cambio de la lógica de detección para corregir un problema de Microsoft Baseline Security Analyzer (MBSA) con Microsoft .NET Framework 3.5. Se trata únicamente de un cambio de detección que no afecta a los archivos que se incluyen en la actualización inicial. Los clientes que han actualizado correctamente sus sistemas no necesitan volver a instalar esta actualización.
  • V1.3 (30 de Junio de 2010): Se ha corregido la confirmación de la clave de registro de Microsoft .NET Framework 3.5 y Microsoft .NET Framework 2.0 Service Pack 2