Boletines Microsoft de Seguridad: Windows 3.11 no está afectado. TAPI sí.

(Por El Microsaurio) De acuerdo a Angela Gunn del MSRC, y tal como comentamos el viernes, hay 14 Boletines de Seguridad, que mencionan 34 vulnerabilidades. El problema de SQL parece que se transformó en una falla de XML, o más exactamente, cómo trata el sistema operativo (de Microsoft) un contenido XML. Y tenemos nuevos vehículos de ataque: los mp3 y algunas películas. Seguí leyendo la novela…

El Boletín-Sumario en español menciona 15 boletines de seguridad, porque los muchachos (y chicas) de Redmond agregaron en la lista el “fuera de programa” de la semana pasada. Los numeraron desde MS10-046 (el “adelantado”) hasta en MS10-061.
Como detallar cada boletín y cada vulnerabilidad convertiría esta nota en un somnífero de aquellos, ahí va un resumen:
Recomendados por el Microsoft Security Response Center (MSRC) para ser instalados primero

• MS10-052: falla en los códec Microsoft de MPEG Layer 3. El ataque se produce cuando un usuario abre un archivo mp3 convenientemente modificado. Afectados, solamente XP y Server 2003.
• MS10-055: vulnerabilidad del codec Cinepak que usa Windows Media Player para abrir archivos “avi”. Igual vector de ataque que el anterior.
• MS10-056: cuatro fallas de programación en Word, incluyendo el que viene en Office for Mac y excluyendo a Office 2010. Puerta de entrada: un archivo DOC o RTF dañino.
• MS10-060: fallas de seguridad en .NET Framework y en Silverlight

Esos son cuatro de los ocho marcados como “Críticos”. Los otros cuatro son:

• MS10-049: dos fallas en el paquete de seguridad SecureChannel de todos los Windows. Vehículo de ataque: un email o un mensaje de Instant Messenger con un link a un website convenientemente “preparado”
• MS10-051: una falla en XML Core Services. Software afectado: los que contienen Microsoft XML Core Services 3.0
• MS10-053: seis errores de programación que aparecen en distintas versiones de Internet Explorer 6, 7 y 8, tanto en sistemas de escritorio como en servidores.
• MS10-054: varias fallas en la forma en que Microsoft implementa SMB. Afecta de manera crítica a Windows XP, es “importante” en todos los demás.

Los otros seis fueron marcados como Importantes:

• MS10-47 y MS10-48 son actualizaciones del kernel de Windows. Varias de las fallas informadas a Microsoft están dentro del Kernel: otras afectan a sus drivers. Según la gente de Redmond, los “importantes” sólo pueden ser explotadas por usuarios locales, no por hackers desde una red externa. Hmmmm.
• MS10-50: una falla en Windows Movie Maker, instalado en XP y en Vista. Basta con mirar la peli que no se debe.
• MS10-57: fallas de Excel para Windows y Mac. Los *noafectados* son Excel de Office 2007 (si el Office 2007 tiene Service Pack 2) y de Office 2010. El vehículo es una planilla con malware.
• MS10-58: dos errores de programación en la forma en que la pila TCP/IP de Windows trata los paquetes IPv6. Afectados: Vista, Siete y Server 2008. Zafaron Windows XP y Server 2003
• MS10-59: dos vulnerabilidades en Tracing Feature for Services (“característica de seguimiento de servicios”, dice Latam Technet), que está instalado en Vista, Siete y Server 2008. Otra vez zafaron Windows XP y Server 2003.

Fin del resumen.
Comentario: La gente del MSRC afirma que solamente hay código de ataque para las fallas de seguridad de dos de estos Boletines de Seguridad. Lamento informar que en Internet ya se ha publicado más que esto, así que, queridos admin, ¡a empachar o se les viene la noche!
Observación: mis apunten provienen de los originales en inglés del material del MSRC y los boletines también en ínglish. De la sauriotraducción-adaptación, me hago cargo.
Espectáculo Fuera de Programa: no se pierdan los detalles de la apasionante Security Advisory 2264072 publicada por Microsoft varias horas después de los Boletines. Aceptan la existencia de “posibilidad potencial de ataques que podrían aprovechar la característica de Windows Service Isolation, especialmente si se emplea la Windows Telephony Application Programming Interface”. No sé cuántas aplicaciones llaman a la Telephony API, pero…
Internet Information Services (IIS), especialmente si corre en Windows Server 2003, SQL Server y cualquier sistema que corra TAPI están afectados, según esa Security Advisory. Yo que vos le pegaría una leída.