Boletín de seguridad de Microsoft MS12-066 - Importante
Una vulnerabilidad en el componente de saneamiento de HTML podría permitir la elevación de privilegios (2741517)
Publicado: | Actualizado:
Versión: 1.3
Información general
Resumen ejecutivo
Esta actualización de seguridad resuelve una vulnerabilidad que se ha divulgado públicamente en Microsoft Office, plataformas de Microsoft Communications, software de servidor de Microsoft y Microsoft Office Web Apps. La vulnerabilidad podría permitir la elevación de privilegios si un atacante envía un contenido especialmente diseñado a un usuario.
Esta actualización de seguridad se considera importante para las ediciones compatibles de Microsoft InfoPath 2007, Microsoft InfoPath 2010, Microsoft Communicator 2007 R2, Microsoft Lync 2010, Microsoft Lync 2010 Attendee, Microsoft SharePoint Server 2007, Microsoft SharePoint Server 2010, Microsoft Groove Server 2010, Microsoft SharePoint Windows Services 3.0, Microsoft SharePoint Foundation 2010 y Microsoft Office Web Apps 2010. Para obtener más información, consulte la subsección, Software afectado y no afectado, en esta sección.
La actualización de seguridad corrige la vulnerabilidad al modificar la forma en que se sanean las cadenas HTML. Para obtener más información acerca de la vulnerabilidad, consulte la subsección Preguntas más frecuentes (P+F) en la sección siguiente, Información sobre la vulnerabilidad.
Recomendación. Los clientes pueden configurar las actualizaciones automáticas para buscar en línea actualizaciones de Microsoft Update mediante el uso del servicio Microsoft Update. Los clientes que tienen habilitadas las actualizaciones automáticas y configuradas para buscar en línea actualizaciones de Microsoft Update normalmente no tienen que realizar ninguna acción porque esta actualización de seguridad se descargará e instalará automáticamente. Los clientes que no han habilitado las actualizaciones automáticas deben buscar las actualizaciones en Microsoft Update e instalar esta actualización manualmente. Para obtener información acerca de opciones de configuración específicas en las actualizaciones automáticas en ediciones compatibles de Windows XP y Windows Server 2003, vea el artículo 294871 de Microsoft Knowledge Base. Para obtener información acerca de las actualizaciones automáticas en las ediciones compatibles de Windows Vista, Windows Server 2008, Windows 7 y Windows Server 2008 R2, vea Introducción a las actualizaciones automáticas de Windows.
Para administradores e instalaciones empresariales, o usuarios finales que deseen instalar esta actualización de seguridad manualmente, Microsoft recomienda que los clientes apliquen la actualización a la primera oportunidad con el software de administración de actualizaciones o busquen las actualizaciones con el servicio Microsoft Update.
Vea también la sección Herramientas y consejos para la detección e implementación, más adelante en este boletín.
Problemas conocidos. En el artículo 2741517 de Microsoft Knowledge Base se señalan los problemas detectados que pueden experimentar los clientes al instalar esta actualización de seguridad. Se documentan asimismo las soluciones propuestas. Cuando los problemas conocidos y las soluciones recomendadas corresponden sólo a versiones específicas de este software, este artículo proporciona vínculos a más artículos.
Software afectado y no afectado
El software siguiente se ha probado para determinar las versiones o ediciones que están afectadas. Otras versiones o ediciones han llegado al final de su ciclo de vida o no están afectadas. Para determinar el ciclo de vida del soporte técnico de su versión o edición de software, vea Ciclo de vida del soporte técnico de Microsoft.
Software afectado
Microsoft Office
| Software | Repercusión de seguridad máxima | Clasificación de gravead acumulada | Actualizaciones reemplazadas |
|---|---|---|---|
| Microsoft InfoPath 2007 Service Pack 2 (KB2687439) Microsoft InfoPath 2007 Service Pack 2 (KB2687440) | Elevación de privilegios | Importante | KB2596666 en MS12-050 se reemplaza por KB2687439 KB2596786 en MS12-050 se reemplaza por KB2687440 |
| Microsoft InfoPath 2007 Service Pack 3 (KB2687439) Microsoft InfoPath 2007 Service Pack 3 (KB2687440) | Elevación de privilegios | Importante | KB2596666 en MS12-050 se reemplaza por KB2687439 KB2596786 en MS12-050 se reemplaza por KB2687440 |
| Microsoft InfoPath 2010 Service Pack 1 (ediciones de 32 bits) (KB2687436) Microsoft InfoPath 2010 Service Pack 1 (ediciones de 32 bits) (KB2687417) | Elevación de privilegios | Importante | KB2553431 en MS12-050 se reemplaza por KB2687436 KB2553322 en MS12-050 se reemplaza por KB2687417 |
| Microsoft InfoPath 2010 Service Pack 1 (ediciones de 64 bits) (KB2687436) Microsoft InfoPath 2010 Service Pack 1 (ediciones de 64 bits) (KB2687417) | Elevación de privilegios | Importante | KB2553431 en MS12-050 se reemplaza por KB2687436 KB2553322 en MS12-050 se reemplaza por KB2687417 |
Software y plataformas de Microsoft Communications
| Software | Repercusión de seguridad máxima | Clasificación de gravead acumulada | Actualizaciones reemplazadas |
|---|---|---|---|
| Microsoft Communicator 2007 R2 (KB2726391) | Divulgación de información | Importante | KB2708980 en MS12-039 se reemplaza por KB2726391 |
| Microsoft Lync 2010 (32 bits) (KB2726382) | Divulgación de información | Importante | KB2693282 en MS12-039 se reemplaza por KB2726382 |
| Microsoft Lync 2010 (64 bits) (KB2726382) | Divulgación de información | Importante | KB2693282 en MS12-039 se reemplaza por KB2726382 |
| Microsoft Lync 2010 Attendee (instalación de nivel de administración) (KB2726388) Microsoft Lync 2010 Attendee[1] (instalación de nivel de usuario) (KB2726384) | Divulgación de información | Importante | KB2696031 en MS12-039 se reemplaza por KB2726388 KB2693283 en MS12-039 se reemplaza por KB2726384 |
[1]Esta actualización solo está disponible en el Centro de descarga de Microsoft.
Software de servidor de Microsoft
| Software | Paquete de actualización | Repercusión de seguridad máxima | Clasificación de gravead acumulada | Actualizaciones reemplazadas |
|---|---|---|---|---|
| Microsoft SharePoint Server | ||||
| Microsoft SharePoint Server 2007 Service Pack 2 (ediciones de 32 bits) | Microsoft SharePoint Server 2007 Service Pack 2 (coreserver) (ediciones de 32 bits)[1] (KB2687405) | Elevación de privilegios | Importante | KB2596663 en MS12-050 se reemplaza por KB2687405 |
| Microsoft SharePoint Server 2007 Service Pack 3 (ediciones de 32 bits) | Microsoft SharePoint Server 2007 Service Pack 3 (coreserver) (ediciones de 32 bits)[1] (KB2687405) | Elevación de privilegios | Importante | KB2596663 en MS12-050 se reemplaza por KB2687405 |
| Microsoft SharePoint Server 2007 Service Pack 2 (ediciones de 64 bits) | Microsoft SharePoint Server 2007 Service Pack 2 (coreserver) (ediciones de 64 bits)[1] (KB2687405) | Elevación de privilegios | Importante | KB2596663 en MS12-050 se reemplaza por KB2687405 |
| Microsoft SharePoint Server 2007 Service Pack 3 (ediciones de 64 bits) | Microsoft SharePoint Server 2007 Service Pack 3 (coreserver) (ediciones de 64 bits)[1] (KB2687405) | Elevación de privilegios | Importante | KB2596663 en MS12-050 se reemplaza por KB2687405 |
| Microsoft SharePoint Server 2010 Service Pack 1 | Microsoft SharePoint Server 2010 Service Pack 1 (wosrv) (KB2687435) Microsoft SharePoint Server 2010 Service Pack 1 (coreserver) (KB2589280) | Elevación de privilegios | Importante | KB2553424 en MS12-050 se reemplaza por KB2687435 KB2553194 en MS12-050 se reemplaza por KB2589280 |
| Microsoft Groove Server | ||||
| Microsoft Groove Server 2010 Service Pack 1 (KB2687402) | No aplicable | Elevación de privilegios | Importante | KB2589325 en MS12-050 se reemplaza por KB2687402 |
| Windows SharePoint Services y Microsoft SharePoint Foundation | ||||
| Microsoft Windows SharePoint Services 3.0 Service Pack 2 (versión de 32 bits): (KB2687356) | No aplicable | Elevación de privilegios | Importante | KB2596911 en MS12-050 se reemplaza por KB2687356 |
| Microsoft Windows SharePoint Services 3.0 Service Pack 3 (versión de 32 bits) (KB2687356) | No aplicable | Elevación de privilegios | Importante | Ninguna |
| Microsoft Windows SharePoint Services 3.0 Service Pack 2 (versión de 64 bits): (KB2687356) | No aplicable | Elevación de privilegios | Importante | KB2596911 en MS12-050 se reemplaza por KB2687356 |
| Microsoft Windows SharePoint Services 3.0 Service Pack 3 (versión de 64 bits) (KB2687356) | No aplicable | Elevación de privilegios | Importante | Ninguna |
| Microsoft SharePoint Foundation 2010 Service Pack 1 (KB2687434) | No aplicable | Elevación de privilegios | Importante | KB2553365 en MS12-050 se reemplaza por KB2687434 |
[1]Para las ediciones compatibles de Microsoft SharePoint Server 2007, además del paquete de actualización de seguridad de Microsoft SharePoint 2007 (KB2687405), los clientes también deben instalar la actualización de seguridad para Microsoft Windows SharePoint Services 3.0 (KB2687356) con el fin de protegerse de las vulnerabilidades descritas en este boletín.
Microsoft Office Web Apps
| Software | Componente | Repercusión de seguridad máxima | Clasificación de gravead acumulada | Actualizaciones reemplazadas |
|---|---|---|---|---|
| Microsoft Office Web Apps 2010 Service Pack 1 (KB2687401) | No aplicable | Elevación de privilegios | Importante | KB2598239 en MS12-050 se reemplaza por KB2687401 |
Software no afectado
| Office y otro software |
|---|
| Microsoft Communicator 2005 |
| Microsoft Communicator 2005 Web Access |
| Microsoft Communicator 2007 |
| Microsoft Communicator 2007 Web Access |
| Microsoft Communications Server 2007 |
| Microsoft Communications Server 2007 Speech Server |
| Microsoft Communications Server 2007 R2 |
| Microsoft Communicator 2007 R2 Attendant |
| Microsoft Communicator 2007 R2 Group Chat Admin |
| Microsoft Communicator 2007 R2 Group Chat Client |
| Consola de Microsoft Live Meeting 2007 |
| Microsoft Communicator para Mac 2011 |
| Microsoft Communicator Mobile |
| Microsoft Communicator Phone Edition |
| Microsoft Lync Server 2010 |
| Microsoft Lync 2010 Attendant (32 bits) |
| Microsoft Lync 2010 Attendant (64 bits) |
| Microsoft Lync 2010 Group Chat |
| Kit de desarrollo de software de Microsoft Lync Server 2010 Group Chat |
| Microsoft Lync para Mac 2011 |
| Microsoft Groove 2007 Service Pack 2 |
| Microsoft Groove 2007 Service Pack 3 |
| Microsoft Groove Server 2007 Service Pack 2 |
| Microsoft Groove Server 2007 Service Pack 3 |
| Microsoft InfoPath 2003 Service Pack 3 |
| Microsoft Live Communications Server 2003 |
| Microsoft Live Communications Server 2005 Service Pack 1 |
| Microsoft SharePoint Portal Server 2003 Service Pack 3 (ediciones de 32 bits) |
| Microsoft SharePoint Portal Server 2003 Service Pack 3 (ediciones de 64 bits) |
| Microsoft Speech Server 2004 |
| Microsoft Speech Server 2004 R2 |
| Microsoft Windows SharePoint Services 2.0 (ediciones de 32 bits) |
| Microsoft Windows SharePoint Services 2.0 (ediciones de 64 bits) |
| Microsoft SharePoint Workspace 2010 Service Pack 1 (ediciones de 32 bits) |
| Microsoft SharePoint Workspace 2010 Service Pack 1 (ediciones de 64 bits) |
Preguntas más frecuentes (P+F) relacionadas con esta actualización de seguridad
Información sobre la vulnerabilidad
Gravedad e identificadores de vulnerabilidad
Vulnerabilidad de saneamiento de HTML (CVE-2012-2520)
Información sobre la actualización
Herramientas y consejos para la detección e implementación
Implementación de la actualización de seguridad
Información adicional:
Agradecimientos
Microsoft muestra su agradecimiento a todas las personas que han trabajado con nosotros para proteger a los clientes:
- Drew Hintz y Andrew Lyons, de Google Security Team, por informar de la vulnerabilidad de saneamiento de HTML (CVE-2012-2520)
Microsoft Active Protections Program (MAPP)
Para mejorar las protecciones de seguridad de los clientes, Microsoft proporciona información acerca de las vulnerabilidades a los principales proveedores de software de seguridad antes de cada publicación mensual de las actualizaciones de seguridad. De este modo, los proveedores de software de seguridad pueden usar esta información para proporcionar protecciones actualizadas a los clientes mediante su software o dispositivos de seguridad, como, por ejemplo, antivirus, sistemas de detección de intrusiones de red o sistemas de prevención de intrusiones de host. Para determinar si hay disponibles protecciones activas en los proveedores de software de seguridad, vaya a los sitios web de protecciones activas que proporcionan los asociados, enumeradas en Asociados de Microsoft Active Protections Program (MAPP).
Soporte técnico
Cómo obtener ayuda y soporte técnico para esta actualización de seguridad
- Ayuda para instalar actualizaciones: Soporte de Microsoft Update
- Soluciones de seguridad para profesionales de TI: Soporte técnico y solución de problemas de seguridad de TechNet
- Ayuda para proteger su equipo con Windows de virus y malware: Solución antivirus y centro de seguridad
- Soporte local según su país: Soporte internacional
Renuncia
La información proporcionada en Microsoft Knowledge Base se suministra "tal cual", sin garantías de ningún tipo. Microsoft renuncia al otorgamiento de toda garantía, tanto expresa como implícita, incluidas las garantías de comerciabilidad e idoneidad para un determinado fin. Ni Microsoft Corporation ni sus proveedores se responsabilizarán en ningún caso de daños directos, indirectos, incidentales, consecuenciales, pérdida de beneficios o daños especiales, aun en el supuesto de que se hubiera informado a Microsoft Corporation o a sus proveedores de la posibilidad de dichos daños. Algunos estados de Estados Unidos no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, y, por tanto, la limitación anterior puede no ser aplicable en su caso.
Revisiones
- V1.0 (9 de octubre de 2012): Publicación del boletín.
- V1.1 (10 de octubre de 2012): se han corregido los números de KB para Microsoft Lync 2010 Attendee (instalación de nivel administrativo) y Microsoft Lync 2010 Attendee (instalación de nivel de usuario). Se trata únicamente de un cambio informativo. Los clientes que ya han actualizado correctamente sus sistemas no necesitan realizar ninguna acción.
- V1.2 (17 de octubre de 2012): se ha corregido la información de reemplazo de actualización. se han corregido los números de KB para Microsoft Lync 2010 Attendee (instalación de nivel administrativo) y Microsoft Lync 2010 Attendee (instalación de nivel de usuario). Sólo son cambios informativos. Los clientes que ya han actualizado correctamente sus sistemas no necesitan realizar ninguna acción.
- V1.3 (23 de octubre de 2012): se agregaron Microsoft Windows SharePoint Services 3.0 Service Pack 3 (versión de 32 bits) y Microsoft Windows SharePoint Services 3.0 Service Pack 3 (versión de 64 bits) a la sección Software afectado. Se trata únicamente de un cambio de boletín. No hubo cambios en la lógica de detección ni en los archivos de actualización de seguridad.