El último martes de parches de 2009

Este mes Microsoft ha lanzado seis boletines de seguridad para parchar 12 vulnerabilidades en sus productos Windows, Internet Explorer y Microsoft Office. Tres de ellos son Críticos y los otros tres Importantes. Estos boletines afectan a todas las versiones admitidas de Windows e Internet Explorer; en Office, los boletines se ocupan de Project, Word y Works 8.5. Otro dato importante es que todas las actualizaciones requieren que se reinicie el sistema, así que tomen eso en cuenta al momento de instalarlas.

MS09-072 trata la Alerta de Seguridad 977981 (vulnerabilidad de daños en la memoria relacionada con los objetos HTML) y puesto que la vulnerabilidad se hizo pública antes de que existiera un parche y afecta a IE6 e IE7, Microsoft la puso a la cabeza de su lista de prioridades. Este es el único boletín que está clasificado como Crítico y además se considera de un nivel de explotación máximo. Los usuarios que utilicen IE8 en cualquier versión de Windows e IE 5.01 en Windows 2000 no son vulnerables a este problema. Y habiendo dicho eso… ¿Cuánta gente sigue con IE 5.01 en sus sistemas? Me gustaría pensar que en los últimos 8 años la mayoría de los usuarios, si es que no fueron todos, han actualizado sus sistemas.

MS09-070 soluciona dos vulnerabilidades de Windows que podrían permitir la ejecución remota de código si un atacante envía una solicitud HTTP maliciosa a un servidor web habilitado para ADFS. Pero para que el ataque sea efectivo se necesitan las credenciales de acceso. Por esta razón, Microsoft le quitó prioridad. Este parche es para cualquier equipo que funcione con Windows Server 2003 32 y x64 Edition, Windows Server 2008 y Windows 2008 x64 Edition.

MS09-071 parcha vulnerabilidades en el Servicio de Autenticación de Internet que pueden comprometer un ordenador si un mensaje se copia de forma incorrecta a la memoria cuando se intenta utilizar la autenticación PEAP. Esta actualización de seguridad se considera Crítica para los sistemas Windows Server 2008 Service Pack 2 de 32 bits y Windows Server 2008 para sistemas Service Pack 2 x64. El nivel de gravedad desciende a Importante o Moderado para otras versiones de Windows. Pero no afecta a los ordenadores con Windows 7 o a las versiones Server 2008 R2 x64 o Itanium.

MS09-073 parcha una vulnerabilidad en WordPad de Microsoft y en los convertidores de texto de Office. Para que los atacantes exploten esta falla, el usuario debe abrir un archivo de Word 97 malicioso en WordPad o MS Word. La actualización de seguridad se considera Importante para WordPad en todas las versiones admitidas de Microsoft Windows 2000, Windows XP, y Windows Server 2003. También se la clasificó como Importante para todas las versiones admitidas de Microsoft Office Word 2002 y Microsoft Office Word 2003, Microsoft Office Converter Pack, y Microsoft Works 8.5. Esto no afecta a las versiones Vista SP1, SP2 32 o x64, Windows 7 32 o x64, Server 2008 R2x64 o Itanium.

MS09-074 trata una vulnerabilidad en la que un atacante puede obtener control absoluto del sistema afectado si el usuario abre un archivo Project malicioso. Esta vulnerabilidad es Crítica para MS Project 2000 SP1 e Importante para MS Project 2002 SP1 y MS Project 2003 SP3.

MS09-069 parcha una vulnerabilidad en el Servicio de Subsistema de Autenticación de la Autoridad de Seguridad local (LSASS) que podría permitir ataques de negación de servicio (DNS). Para ello, el atacante debería enviar mensajes ISAKMP a la LSASS durante su comunicación con la seguridad del Protocolo de Internet (IPsec). Esta amenaza se considera Importante para todas las versiones admitidas de Windows 2000, Windows XP y Windows Server 2003.

También quiero recordar que se ha vuelto a lanzar MS08-037. Este boletín trata la vulnerabilidad en el cliente DNS y el servidor DNS que podría permitir la suplantación de identidad. Este parche es para Microsoft Windows 2000, Windows XP, Windows Server 2003, y Windows Server 2008. Los usuarios de Windows 2000 que ya hayan instalado y descargado este parche deben volver a hacerlo para que se complete la actualización.

Siempre recomiendo que descarguen todas las actualizaciones que necesite su sistema sin importar el grado de severidad que le haya asignado Microsoft.

Pueden visitar el blog de Microsoft para recibir información más detallada sobre estos parches.