Boletín de seguridad de Microsoft MS11-074 - Importante

Vulnerabilidades en Microsoft SharePoint podrían permitir la elevación de privilegios (2451858)

Publicado: | Actualizado:

Versión: 1.3

Información general

Resumen ejecutivo

Esta actualización de seguridad resuelve cinco vulnerabilidades de las que se ha informado de forma privada y una vulnerabilidad de la que se ha informado de forma pública en Microsoft SharePoint y Windows SharePoint Services. Las vulnerabilidades más graves podrían permitir la elevación de privilegios si un usuario hace clic en una dirección URL especialmente diseñada o visita un sitio web especialmente diseñado. En las vulnerabilidades más graves, los usuarios de Internet Explorer 8 e Internet Explorer 9 que exploren un sitio de SharePoint en la zona Internet están menos expuestos porque, de forma predeterminada, el filtro XSS en Internet Explorer 8 e Internet Explorer 9 contribuye a bloquear los ataques en la zona Internet. No obstante, el filtro XSS en Internet Explorer 8 e Internet Explorer 9 no está habilitado de forma predeterminada en la zona Intranet.

Esta actualización de seguridad se considera importante para Microsoft Office Groove 2007, Microsoft SharePoint Workspace 2010, Microsoft Office Forms Server 2007, Microsoft Office SharePoint Server 2007, Microsoft Office SharePoint Server 2010, Microsoft Office Groove Data Bridge Server 2007, Microsoft Office Groove Management Server 2007, Microsoft Groove Server 2010, Microsoft SharePoint Services 2.0, Microsoft SharePoint Services 3.0, Microsoft SharePoint Foundation 2010, Microsoft Office Web Apps 2010 y Microsoft Word Web App 2010. Para obtener más información, consulte la subsección Software afectado y no afectado, en esta sección.

La actualización de seguridad corrige las vulnerabilidades al modificar la manera en que Microsoft SharePoint valida y sanea la entrada del usuario, analiza los archivos XML y XSL malintencionados, y trata los scripts que se encuentran en determinados parámetros de solicitud. Para obtener más información acerca de las vulnerabilidades, consulte la subsección Preguntas más frecuentes (P+F) de la entrada de vulnerabilidad específica en la sección siguiente, Información sobre la vulnerabilidad.

Recomendación. Los clientes pueden configurar las actualizaciones automáticas para buscar en línea actualizaciones de Microsoft Update mediante el uso del servicio Microsoft Update. Los clientes que tienen habilitadas las actualizaciones automáticas y configuradas para buscar en línea actualizaciones de Microsoft Update normalmente no tienen que realizar ninguna acción porque esta actualización de seguridad se descargará e instalará automáticamente. Los clientes que no han habilitado las actualizaciones automáticas deben buscar las actualizaciones en Microsoft Update e instalar esta actualización manualmente. Para obtener información acerca de opciones de configuración específicas en las actualizaciones automáticas en ediciones compatibles de Windows XP y Windows Server 2003, vea el artículo 294871 de Microsoft Knowledge Base. Para obtener información acerca de las actualizaciones automáticas en las ediciones compatibles de Windows Vista, Windows Server 2008, Windows 7 y Windows Server 2008 R2, vea Introducción a las actualizaciones automáticas de Windows.

Para administradores e instalaciones empresariales, o usuarios finales que deseen instalar esta actualización de seguridad manualmente, Microsoft recomienda que los clientes apliquen la actualización a la primera oportunidad con el software de administración de actualizaciones o busquen las actualizaciones con el servicio Microsoft Update.

Vea también la sección Herramientas y consejos para la detección e implementación, más adelante en este boletín.

Problemas conocidos. En el artículo 2451858 de Microsoft Knowledge Base se señalan los problemas detectados que pueden experimentar los clientes al instalar esta actualización de seguridad. Se documentan asimismo las soluciones propuestas. Cuando los problemas conocidos y las soluciones recomendadas corresponden sólo a versiones específicas de este software, este artículo proporciona vínculos a más artículos.

Software afectado y no afectado

El software siguiente se ha probado para determinar las versiones o ediciones que están afectadas. Otras versiones o ediciones han llegado al final de su ciclo de vida o no están afectadas. Para determinar el ciclo de vida del soporte técnico de su versión o edición de software, visite Ciclo de vida del soporte técnico de Microsoft.

Software afectado

Microsoft Office

SoftwareRepercusión de seguridad máximaClasificación de gravedad acumuladaBoletines reemplazados por esta actualización
Microsoft Office Groove 2007 Service Pack 2
(KB2552997)
Divulgación de informaciónImportanteMS11-016
Microsoft SharePoint Workspace 2010 y Microsoft SharePoint Workspace 2010 Service Pack 1 (ediciones de 32 bits)
(KB2566445)
Divulgación de informaciónImportanteNinguna
Microsoft SharePoint Workspace 2010 y Microsoft SharePoint Workspace 2010 Service Pack 1 (ediciones de 64 bits)
(KB2566445)
Divulgación de informaciónImportanteNinguna

Software de servidor de Microsoft

SoftwarePaquete de actualización Repercusión de seguridad máximaClasificación de gravedad acumuladaBoletines reemplazados por esta actualización
Microsoft Forms Server
Microsoft Office Forms Server 2007 Service Pack 2 (ediciones de 32 bits)
(KB2553005)
No aplicableElevación de privilegiosImportanteNinguna
Microsoft Office Forms Server 2007 Service Pack 2 (ediciones de 64 bits)
(KB2553005)
No aplicableElevación de privilegiosImportanteNinguna
Microsoft SharePoint Server
Microsoft Office SharePoint Server 2007 Service Pack 2 (ediciones de 32 bits)[1]Microsoft Office SharePoint Server 2007 Service Pack 2 (coreserver) (ediciones de 32 bits)
(KB2508964)

Microsoft Office SharePoint Server 2007 Service Pack 2 (oserver) (ediciones de 32 bits)
(KB2553001)

Microsoft Office SharePoint Server 2007 Service Pack 2 (sserverx) (ediciones de 32 bits)
(KB2553002)

Microsoft Office SharePoint Server 2007 Service Pack 2 (dlc) (ediciones de 32 bits)
(KB2553003)
Elevación de privilegiosImportanteKB2345212 en MS10-072 se reemplaza por KB2508964


Ningún boletín reemplazado por KB2553001



Ningún boletín reemplazado por KB255002



KB2433089 en MS10-104 se reemplaza por KB2553003
Microsoft Office SharePoint Server 2007 Service Pack 2 (ediciones de 64 bits)[1]Microsoft Office SharePoint Server 2007 Service Pack 2 (coreserver) (ediciones de 64 bits)
(KB2508964)

Microsoft Office SharePoint Server 2007 Service Pack 2 (oserver) (ediciones de 64 bits)
(KB2553001)

Microsoft Office SharePoint Server 2007 Service Pack 2 (sserverx) (ediciones de 64 bits)
(KB2553002)

Microsoft Office SharePoint Server 2007 Service Pack 2 (dlc) (ediciones de 64 bits)
(KB2553003)
Elevación de privilegiosImportanteKB2345212 en MS10-072 se reemplaza por KB2508964


Ningún boletín reemplazado por KB2553001



Ningún boletín reemplazado por KB255002



KB2433089 en MS10-104 se reemplaza por KB2553003
Microsoft Office SharePoint Server 2010 y Microsoft Office SharePoint Server 2010 Service Pack 1Microsoft Office SharePoint Server 2010 y Microsoft Office SharePoint Server 2010 Service Pack 1 (osrchwfe)
(KB2494022)

Microsoft Office SharePoint Server 2010 y Microsoft Office SharePoint Server 2010 Service Pack 1 (osrv)
(KB2560885)

Microsoft Office SharePoint Server 2010 y Microsoft Office SharePoint Server 2010 Service Pack 1 (pplwfe)
(KB2560890)

Microsoft Office SharePoint Server 2010 y Microsoft Office SharePoint Server 2010 Service Pack 1 (ppsmawfe)
(KB2566456)

Microsoft Office SharePoint Server 2010 y Microsoft Office SharePoint Server 2010 Service Pack 1 (dlc)
(KB2566954)

Microsoft Office SharePoint Server 2010 y Microsoft Office SharePoint Server 2010 Service Pack 1 (ppsmamui)
(KB2566958)

Microsoft Office SharePoint Server 2010 y Microsoft Office SharePoint Server 2010 Service Pack 1 (wosrv)
(KB2566960)
Elevación de privilegiosImportanteNinguna
Microsoft Groove Server
Microsoft Office Groove Data Bridge Server 2007 Service Pack 2
(KB2552999)
No aplicableElevación de privilegiosImportanteNinguna
Microsoft Office Groove Management Server 2007 Service Pack 2
(KB2552998)
No aplicableElevación de privilegiosImportanteNinguna
Microsoft Groove Server 2010 y Microsoft Groove Server 2010 Service Pack 1
(KB2508965)
No aplicableElevación de privilegiosImportanteMS10-072
Windows SharePoint Services y Microsoft SharePoint Foundation
Microsoft Windows SharePoint Services 2.0
(KB2494007)
No aplicableElevación de privilegiosImportanteNinguna
Microsoft Windows SharePoint Services 3.0 Service Pack 2 (versiones de 32 bits)
(KB2493987)
No aplicableElevación de privilegiosImportanteMS10-072
Microsoft Windows SharePoint Services 3.0 Service Pack 2 (versiones de 64 bits)
(KB2493987)
No aplicableElevación de privilegiosImportanteMS10-072
Microsoft SharePoint Foundation 2010 y Microsoft SharePoint Foundation 2010 Service Pack 1
(KB2494001)
No aplicableElevación de privilegiosImportanteMS10-072

[1]Para las ediciones compatibles de Microsoft Office SharePoint Server 2007, además de los paquetes de actualización de seguridad para Microsoft Office SharePoint 2007 (KB2508964, KB2553001, KB2553002 y KB2553003), los clientes también deben instalar la actualización de seguridad para Microsoft Windows SharePoint Services 3.0 (KB2493987) a fin de estar protegidos contra las vulnerabilidades descritas en este boletín.

Microsoft Office Web Apps

SoftwareComponente Repercusión de seguridad máximaClasificación de gravedad acumuladaBoletines reemplazados por esta actualización
Microsoft Office Web Apps 2010 y Microsoft Office Web Apps 2010 Service Pack 1
(KB2566449)
No aplicableDivulgación de informaciónImportanteMS11-022
Microsoft Office Web Apps 2010 y Microsoft Office Web Apps 2010 Service Pack 1Microsoft Word Web App 2010 y Microsoft Word Web App 2010 Service Pack 1
(KB2566450)
Divulgación de informaciónImportanteMS10-079

Software no afectado

Office y otro software
Microsoft Office SharePoint Portal Server 2003 Service Pack 3

Preguntas más frecuentes (P+F) relacionadas con esta actualización de seguridad

Información sobre la vulnerabilidad

Gravedad e identificadores de vulnerabilidad

Vulnerabilidad de XSS en el calendario de SharePoint (CVE-2011-0653)

Vulnerabilidad de saneamiento de HTML (CVE-2011-1252)

Vulnerabilidad de inserción de scripts de Editform (CVE-2011-1890)

Vulnerabilidad de XSS reflejado en detalles de contacto (CVE-2011-1891)

Vulnerabilidad de divulgación remota de archivos en SharePoint (CVE-2011-1892)

Vulnerabilidad de XSS en SharePoint (CVE-2011-1893)

Información sobre la actualización

Herramientas y consejos para la detección e implementación

Implementación de la actualización de seguridad

Información adicional:

Agradecimientos

Microsoft muestra su agradecimiento a todas las personas que han trabajado con nosotros para proteger a los clientes:

  • Andrew Connell, de Critical Path Training, LLC, por informar de la vulnerabilidad de XSS en el calendario de SharePoint (CVE-2011-0653)
  • David Feldman, de Raytheon, por informar de la vulnerabilidad de XSS en el calendario de SharePoint (CVE-2011-0653)
  • Adi Cohen, de IBM Rational Application Security, por informar de la vulnerabilidad de saneamiento de HTML (CVE-2011-1252)
  • Trend Micro
  • , por colaborar con nosotros en la vulnerabilidad de saneamiento de HTML (CVE-2011-1252)
  • Pedro Jimenez, de ITT, por informar de la vulnerabilidad de inserción de scripts de Editform (CVE-2011-1890)
  • Seeker automatic application security testing solution
  • , por informar de la vulnerabilidad de XSS reflejado en detalles de contacto (CVE-2011-1891)
  • Nicolas Grégoire, de Agarri, por informar de la vulnerabilidad de divulgación remota de archivos en SharePoint (CVE-2011-1892)
  • Jim LaValley, de LaValley Consulting, LLC, por informar de la vulnerabilidad de XSS en SharePoint (CVE-2011-1893)
  • Irene Abezgauz, de Seeker, por colaborar con nosotros en una actualización de defensa en profundidad para mejorar el tratamiento de los redireccionamientos entre aplicaciones en Microsoft SharePoint

Microsoft Active Protections Program (MAPP)

Para mejorar las protecciones de seguridad de los clientes, Microsoft proporciona información acerca de las vulnerabilidades a los principales proveedores de software de seguridad antes de cada publicación mensual de las actualizaciones de seguridad. De este modo, los proveedores de software de seguridad pueden usar esta información para proporcionar protecciones actualizadas a los clientes mediante su software o dispositivos de seguridad, como, por ejemplo, antivirus, sistemas de detección de intrusiones de red o sistemas de prevención de intrusiones de host. Para determinar si hay disponibles protecciones activas en los proveedores de software de seguridad, visite los sitios web de protecciones activas que proporcionan los asociados, enumeradas en Asociados de Microsoft Active Protections Program (MAPP).

Soporte técnico

  • Los clientes de Estados Unidos y Canadá pueden recibir soporte técnico del soporte de seguridad o en el teléfono 1-866-PCSAFETY. Las llamadas de soporte técnico relacionadas con las actualizaciones de seguridad son gratuitas. Para obtener más información acerca de las opciones de asistencia disponibles, vea Ayuda y soporte técnico de Microsoft.
  • Los clientes internacionales pueden recibir soporte técnico en las subsidiarias de Microsoft de sus países. Las llamadas de soporte técnico relacionadas con las actualizaciones de seguridad son gratuitas. Para obtener más información acerca de cómo ponerse en contacto con Microsoft en relación con problemas de soporte técnico, visite el sitio web de soporte técnico internacional de Microsoft.

Renuncia

La información proporcionada en Microsoft Knowledge Base se suministra "tal cual", sin garantías de ningún tipo. Microsoft renuncia al otorgamiento de toda garantía, tanto expresa como implícita, incluidas las garantías de comerciabilidad e idoneidad para un determinado fin. Ni Microsoft Corporation ni sus proveedores se responsabilizarán en ningún caso de daños directos, indirectos, incidentales, consecuenciales, pérdida de beneficios o daños especiales, aun en el supuesto de que se hubiera informado a Microsoft Corporation o a sus proveedores de la posibilidad de dichos daños. Algunos estados de Estados Unidos no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, y, por tanto, la limitación anterior puede no ser aplicable en su caso.

Revisiones

  • V1.0 (13 de septiembre de 2011): Publicación del boletín.
  • V1.1 (13 de septiembre de 2011): Se ha agregado la información de vínculo y paquete de actualización para la actualización de Microsoft Office SharePoint Server 2010 y Microsoft Office SharePoint Server 2010 Service Pack 1 (pplwfe) (KB2560890). Se trata únicamente de un cambio informativo. No había cambios en los archivos de la actualización de seguridad o en la lógica de la detección.
  • V1.2 (21 de septiembre de 2011): Se ha quitado la referencia errónea al artículo 2553001 de Microsoft Knowledge Base en la tabla de referencia de implementación para Microsoft Groove Server 2007. Se trata únicamente de un cambio informativo. No había cambios en los archivos de la actualización de seguridad o en la lógica de la detección.
  • V1.3 (11 de octubre de 2011): Se han anunciado cambios en la lógica de detección para algunas configuraciones afectadas. No había cambios en los archivos de la actualización de seguridad. Vea las preguntas más frecuentes de la actualización para obtener más detalles.