• Tweet

El martes pasado, Microsoft publicó parches para corregir tres vulnerabilidades, pero no corrigen una que existe en Word 2000 y que puede ser explotada por usuarios maliciosos.

Como parte de su ciclo de publicación de parches mensuales, Microsoft liberó parches para corregir errores en Office y tres vulnerabilidades más de su sistema operativo Windows. El fabricante de software etiqueta la vulnerabilidad de Office como problema "crítico", mientras que los problemas con Windows tienen un estado de alerta más bajo.

La semana pasada, Microsoft advirtió que usuarios maliciosos han estado explotando una vulnerabilidad publicada hace ya algunos meses de Word 2000. Estos ataques generalmente son enviados a la víctima como archivos adjuntos por correo o pueden ser proporcionados de alguna otra manera. Microsoft comentó que está trabajando en un parche que corrija esta vulnerabilidad, pero en las listas de seguridad del pasado 6 de septiembre, no definió una fecha exacta para su publicación.

La vulnerabilidad de Word 2000 es similar a la vulnerabilidad de Office que corrigió Microsoft el martes. Esta vulnerabilidad afecta a Publisher de Office 2000, Office XP y Office 2003. Un usuario malicioso puede explotar esta vulnerabilidad logrando que su víctima abra el archivo maliciosos que puede descargar de un sitio Web malicioso o al descargarlo de su correo electrónico, de acuerdo con el boletín de Microsoft MS09-054.

“Si un atacante logra explotar la vulnerabilidad, puede tener control total del sistema”, Microsoft informó a sus clientes que deben de aplicar el parche inmediatamente.

El fabricante recomienda a todos los usuarios, sin importar si tienen instalada la aplicación o no, descargar el parche, debido a que otras aplicaciones de Office utilizan algunos de los archivos que pueden ser comprometidos.

De las dos vulnerabilidades que corrigió Microsoft el martes, una de ellas puede permitir a un atacante tomar el control del equipo de manera remota y la otra vulnerabilidad puede permitir el acceso a la información.

Una vulnerabilidad en el protocolo de transferencia de Windows XP puede permitir a un atacante vulnerar el sistema permitiéndole el envió de paquetes especiales, de acuerdo con el boletín de seguridad MS06-052. Sin embargo el protocolo PGM (Pragmatic General Multicast) es parte de su tecnología Microsoft Message Queuing en su versión 3.0, y no se encuentra habilitado de manera predeterminada, es lo que comentó Microsoft.

La información de la vulnerabilidad en las listas de difusión dice que existe una vulnerabilidad de cross site scripting en el servicio de indexación de Microsoft, de acuerdo con la información del boletín security bulletin MS06-053. Un atacante puede explotar está vulnerabilidad ejecutando un programa malicioso en el equipo vulnerable.

Las actualizaciones están disponibles para ser descargadas desde el sitio Web de Microsoft o utilizando la herramienta de actualización Windows Update. En lo que respecta a la vulnerabilidad de Word 2000 se les recomienda a los usuarios tener precaución cuando abran algún correo que tenga archivos adjuntos.