Sistemas Afectados

1. Índice de explotabilidad

   Vulnerabilidad 1 - CVE-2009-0901

   Código de explotación consistente

   Vulnerabilidad 2 - CVE-2009-2493

   Código de explotación consistente

   Vulnerabilidad 3 - CVE-2009-2495

   Código de explotación funcional improbable

2. Descripción

   Vulnerabilidad 1 - CVE-2009-0901

   Una vulnerabilidad de ejecución remota de código existe en Microsoft Active Template Library (ATL) debido a un problema en las cabeceras de ATL que podrían permitir a un atacante poner en vigor VariantClear a ser llamado sobre en una VARIANT que no se inicializado correctamente. Debido a esto, el atacante puede tomar control lo que sucede cuando VariantClear es llamado durante la manipulación de un error mediante el suministro de un flujo de corrupción. Esta vulnerabilidad solo afecta a sistemas con componentes y controles instalados que fueron construidas usando Visual Studio ATL. Este problema podría permitir control remoto, los usuarios no autenticados para realizar ejecución remota de código sobre un sistema afectado. Un atacante podría explotar la vulnerabilidad construyendo una página Web diseñada. Cuando un usuario vea la pagina Web, la vulnerabilidad podría permitir ejecutar código.

   Vulnerabilidad 2 - CVE-2009-2493

   Una vulnerabilidad de ejecución remota de código existe en Microsoft Active Template Library (ATL) debido a encabezado que manejan instancias de un objeto a partir de flujos de datos. Esta vulnerabilidad solo afecta a sistemas con componentes y controles instalados que fueron construidas usando Visual Studio ATL. Para componentes y controles construidos usando ATL, usándolo inapropiado de la OleLoadFromStream podría permitir la creación de instancias de objetos arbitrarios que pueden pasar por alto la política de seguridad relacionados, tales como bits de Internet Explorer.

   Vulnerabilidad 3 - CVE-2009-2495

   La información de esta vulnerabilidad existe en Microsoft Active Template Library (ATL) que podría permitir a una cadena ser leída sin un carácter nulo de terminación. Un atacante podría manipular esta cadena para leer datos adicionales más allá del final de la cadena y así mostrar la información en la memoria. Esta vulnerabilidad solo afecta a sistemas con componentes y controles instalados que fueron construidas usando Visual Studio ATL. Un atacante que exitosamente explote esta vulnerabilidad podría corres componentes y controles maliciosos que podrían divulgar información, enviar datos de usuarios a terceras personas o accesar a cualquier dato sobre un sistema afectado que era accesible al usuario con sesión iniciada. Nota esta vulnerabilidad no permitirá a un atacante ejecutar código o elevar sus derechos de usuario directamente, pero podría ser utilizado para producir información que pueda utilizarse para tratar de sacar mas provecho del sistema afectado.

3. Impacto

   Vulnerabilidad 1 - CVE-2009-0901

   Esta vulnerabilidad no puede ser explotada a través de un correo electrónico, para un atacante seria más exitoso que un usuario abriera un archivo adjunto que es enviado en un correo electrónico.

   Un atacante que aproveche esta vulnerabilidad podría obtener los mismos derechos de usuario que el usuario local. Los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema podrían ser menos afectados que aquellos usuarios quienes operan con privilegios de administrador.

   Vulnerabilidad 2 - CVE-2009-2493

   Este problema podría permitir control remoto, los usuarios no autenticados para realizar ejecución remota de código sobre un sistema afectado. Un atacante podría explotar la vulnerabilidad construyendo una página Web diseñada. Cuando un usuario vea la pagina Web, la vulnerabilidad podría permitir ejecutar código.

   Un atacante quien exitosamente explote esta vulnerabilidad podrá tener los mismos derechos de usuario como un usuario local. Usuarios cuya cuenta es configurada para tener menos privilegios de usuario sobre el sistema podrían ser menos impactados que aquellos usuarios quienes operan con privilegios de administrador.

   Vulnerabilidad 3 - CVE-2009-2495

   Un atacante quien exitosamente explote esta vulnerabilidad podrá tener los mismos derechos de usuario como un usuario local. Usuarios cuya cuenta es configurada para tener menos privilegios de usuario sobre el sistema podrían ser menos impactados que aquellos usuarios quienes operan con privilegios de administrador.

4. Solución

   1. Microsoft Outlook 2002 Service Pack 3

   2. Microsoft Office Outlook 2003 Service Pack 3/a>

   3. Microsoft Office Outlook 2007 Service Pack 1 and Microsoft Office Outlook 2007 Service Pack 2

   4. Microsoft Office Visio Viewer 2007, Microsoft Office Visio Viewer 2007 Service Pack 1, and Microsoft Office Visio Viewer 2007 Service Pack 2

5. Referencias

   1. http://www.microsoft.com/technet/security/bulletin/ms09-060.mspx

   2. http://www.microsoft.com/technet/security/Bulletin/MS09-oct.mspx

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Mayra Villeda (mvilleda at seguridad dot unam dot mx)
• Manuel Ignacio Quintero Martínez (mquintero at seguridad dot unam dot mx)