Feb
8
Boletín 00009 – 18/04/2005
Category: Seguridad | 
Leave a Comment
1.- Fin del bloqueo del Service Pack 2 para Windows XP
2.- Ocho boletines de seguridad de Microsoft en abril
3.- Vulnerabilidad en PHP-Nuke
4.- Oracle corrige 75 vulnerabilidades con su actualización trimestral
5.- Outlook and OWA Subject to From Field Spoofing
==== 1.- Fin del bloqueo del Service Pack 2 para Windows XP ====
Microsoft distribuyó a mediados del año pasado una utilidad, SP2 Blocker Tool, que permitía bloquear temporalmente la instalación automática del Service Pack 2 para Windows XP, en aras de evitar posibles incompatibilidades con otras aplicaciones. El próximo 12 de abril finaliza el periodo de bloqueo y dejará de ser efectivo.
Las características del SP2 para Windows XP podían suponer que ciertas aplicaciones dejaran de funcionar y/o necesitaran de actualizaciones para adaptarse a los nuevos requerimientos de Microsoft. Esta problemática cobraba especial relevancia en entornos corporativos, ya que dependiendo de la configuración de los clientes, o por acción directa de los usuarios, podía llevarse a cabo la instalación del SP2 de forma previa e independiente al despliegue oficial programado por los administradores o el departamento de informática.
Para mitigar potenciales problemas por estas situaciones Microsoft lanzó una herramienta, muy simple, que bloqueaba la instalación automática a través de sus servicios Windows Update y Automatic Updates. Básicamente la herramienta introducía una clave en el registro de Windows para marcar a los servicios de actualización automática que no instalaran el SP2, tal que así:
HKLM\Software\Policies\Microsoft\Windows\WindowsUpdateDoNotAllowXPSP2=1
Si el valor DWORD es 1, el bloqueo está activo. Si el valor es distinto de 1 o la clave no existe, el sistema permite la instalación del SP2.
En muchos entornos corporativos se procedió al despliegue de este bloqueo, lo que permitía prolongar los estudios sobre compatibilidad del SP2 con las aplicaciones corporativas de cara minimizar cualquier problema.
En condiciones deseables, durante este periodo de bloqueo en los entornos corporativos que desplegaron esta estrategia se habrán finalizado los estudios de compatibilidad y corregido cualquier problema o eventualidad detectada. En estos casos habrá bastado eliminar la clave o modificar su valor en cualquier momento para permitir la instalación automática del SP2 para Windows XP.
Si bien no se descarta que aun existan organizaciones o PCs de usuarios finales que, dado el tiempo transcurrido, no se hayan percatado de que el bloqueo de la utilidad dejará de ser efectivo tras el próximo 12 de abril. A partir de esa fecha su sistema Windows XP podrá actualizarse automáticamente con el SP2, de manera independiente a si ha hecho los “deberes” sobre la compatibilidad de sus aplicaciones.
Temporarily Disabling Delivery of Windows XP Service Pack 2 Through Windows Update and Automatic Updates
http://www.microsoft.com/technet/prodtechnol/winxppro/maintain/sp2aumng.mspx
FAQ – Temporarily Blocking Windows XP SP2
http://www.microsoft.com/technet/prodtechnol/winxppro/maintain/sp2aumngfaq.mspx
==== 2.- Ocho boletines de seguridad de Microsoft en abril ====
Como cada segundo martes, y después del vacío de marzo, Microsoft ha publicado los boletines de seguridad. Este mes se han publicado ocho nuevos boletines (MS05-016 al MS05-023) y el relanzamiento de otro dos (MS05-002 y MS05-009). Entre los nuevos boletines, según la propia clasificación de Microsoft, hay cinco que presentan un nivel de gravedad “crítico” y tres de nivel “importante”.
Es por tanto, importante conocer la existencia de estas actualizaciones, evaluar el impacto de los problemas y aplicar las actualizaciones en la mayor brevedad posible. Este es un boletín de urgencia en el que describimos superficialmente cada uno de los nuevos boletines de seguridad de Microsoft. En los próximos días publicaremos otros boletines donde analizaremos más detalladamente las actualizaciones más importantes.
Los boletines afectan principalmente a diversos componentes de los sistemas operativos Microsoft Windows, incluyendo Windows XP Service Pack 2. También afectan a diferentes versiones de Exchange Server, MSN Messenger, Word e Internet Explorer.
* MS05-016: Destinado a solucionar una vulnerabilidad en el shell de Windows que podría permitir la ejecución remota de código y que podría permitir a un atacante remoto tomar el control de los sistemas afectados. Según la calificación de Microsoft está calificado como “importante”. Afecta a Windows 2000, Windows XP (incluido SP2), Windows XP 64-Bit Edition SP1 y 2003 (Itanium), Windows Server 2003, Windows 98, Windows 98 SE y Windows ME.
* MS05-017: Soluciona una vulnerabilidad en la cola de mensajes podría permitir la ejecución remota de código. El problema reside en Message Queuing (MSMQ) y podría permitir a un intruso tomar el control de un sistema afectado. Está calificado como “importante”. Afecta a Windows 2000, Windows XP, Windows 98 y Windows 98 SE.
* MS05-018: En este boletín se presentan cuatro vulnerabilidades en el núcleo de Windows podrían permitir la elevación de privilegios y una denegación de servicio. Según la calificación de Microsoft recibe el nivel de “importante”. Afecta a Windows 2000, Windows XP (incluido SP2), Windows XP 64-Bit Edition SP1 y 2003 (Itanium), Windows Server 2003, Windows 98, Windows 98 SE y Windows ME.
* MS05-019: Corrige cinco vulnerabilidades en TCP/IP que podrían permitir la ejecución remota de código y una denegación de servicio. Recibe una calificación de “crítico”. Afecta a Windows 2000, Windows XP (incluido SP2), Windows XP 64-Bit Edition SP1 y 2003 (Itanium), Windows Server 2003, Windows 98, Windows 98 SE y Windows ME.
* MS05-020: En este boletín se presenta una actualización de seguridad acumulativa para Internet Explorer. Además de corregir tres nuevas vulnerabilidades en el navegador de Microsoft que incluso podrían permitir a un intruso tomar el control de los sistemas afectados. Está calificado como “crítico”. Afecta a Windows 2000, Windows XP (incluido SP2), Windows XP 64-Bit Edition SP1 y 2003 (Itanium), Windows Server 2003, Windows 98, Windows 98 SE y Windows ME.
* MS05-021: Soluciona una vulnerabilidad en Exchange Server que podría permitir la ejecución remota de código. Según la calificación de Microsoft recibe un nivel de “crítico”. Afecta a Exchange 2000 Server y Exchange Server 2003.
* MS05-022: Soluciona una vulnerabilidad en MSN Messenger que podría permitir a un atacante remoto lograr la ejecución de código arbitrario. Está calificado como “crítico”. Afecta a MSN Messenger 6.2.
* MS05-023: Este boletín presenta una actualización destinada a solucionar dos vulnerabilidades de Microsoft Word que pueden permitir la ejecución remota de código arbitrario. Está calificado como “crítico”. Afecta a Word 2000, 2002 y 2003, y a Works Suite 2001, 2002, 2003 y 2004.
Vulnerabilities in Microsoft Word May Lead to Remote Code Execution: MS05-023
http://www.microsoft.com/technet/security/Bulletin/MS05-023.mspx
Vulnerability in MSN Messenger Could Lead to Remote Code Execution: MS05-022
http://www.microsoft.com/technet/security/Bulletin/MS05-022.mspx
Vulnerability in Exchange Server Could Allow Remote Code Execution: MS05-021
http://www.microsoft.com/technet/security/Bulletin/MS05-021.mspx
Cumulative Security Update for Internet Explorer (890923): MS05-020
http://www.microsoft.com/technet/security/Bulletin/MS05-020.mspx
Vulnerabilities in TCP/IP Could Allow Remote Code Execution and Denial of Service: MS05-019
http://www.microsoft.com/technet/security/Bulletin/MS05-019.mspx
Vulnerability in Windows Kernel Could Allow Elevation of Privilege and Denial of Service: MS05-018
http://www.microsoft.com/technet/security/Bulletin/MS05-018.mspx
Vulnerability in Message Queuing Could Allow Code Execution: MS05-017
http://www.microsoft.com/technet/security/Bulletin/MS05-017.mspx
Vulnerability in Windows Shell that Could Allow Remote Code Execution: MS05-016
http://www.microsoft.com/technet/security/Bulletin/MS05-016.mspx
==== 3.- Vulnerabilidad en PHP-Nuke ====
Se ha descubierto una vulnerabilidad en PHP-Nuke (versiones 6 y 7) que puede ser explotada por usuarios maliciosos para realizar ataques de inyección SQL.
PHP-Nuke es un sistema de gestión de contenidos de gran popularidad, utilizado en cientos de sitios web de todo el mundo. Escrito en PHP, es opensource, gratuito y cómodo de instalar y administrar, si bien ha mostrado un historial bastante amplio de vulnerabilidades.
La vulnerabilidad descubierta se debe a la falta de filtrado adecuado del parámetro ‘querylang’ en el módulo Top antes de ser utilizado en peticiones SQL. Esta circunstancia puede ser explotada para manipular peticiones de este tipo e inyectar código SQL arbitrario. Gracias a esta técnica se podría, por ejemplo, acceder a los hashes md5 de las claves de usuario de los administradores.
Si bien el problema ha sido confirmado en todas las versiones 6 y en las 7 hasta la versión 7.6 (última disponible para descarga), no se descarta que pueda afectar a otras. A falta de un parche que solucione el problema, se recomienda filtrar con un proxy peticiones maliciosas o bien modificar el código para filtrar adecuadamente las entradas a dicho parámetro.
Critical Sql Injection in PhpNuke 6.x-7.6 Top module
http://www.waraxe.us/advisory-41.html
==== 4.- Oracle corrige 75 vulnerabilidades con su actualización trimestral ====
Oracle ha publicado su paquete de actualización crítica trimestral para cubrir múltiples vulnerabilidades de seguridad. En esta ocasión hasta un total de 75 problemas diferentes, aunque algunos afectan a diversas familias de productos.
Como ya anunciamos anteriormente, Oracle cambió su política de publicación de actualizaciones para realizarlas de forma trimestral. Coincidiendo con la distribución de parches de Microsoft de ayer, Oracle también publicó un macro-parche para cubrir hasta un total de 75 vulnerabilidades de muy diversa índole.
Como en anteriores ocasiones, Oracle no ha facilitado detalles sobre los problemas corregidos, aunque sí se puede desprender que muchos de ellos pueden permitir el acceso total de forma sencilla a los servidores afectados, comprometiendo la confidencialidad, integridad y disponibilidad de los datos.
Las versiones de los productos afectados son las siguientes:
* Oracle Database 10g Release 1, versiones 10.1.0.2, 10.1.0.3, 10.1.0.3.1 y 10.1.0.4
* Oracle9i Database Server Release 2, versiones 9.2.0.5, 9.2.0.6
* Oracle9i Database Server Release 1, versiones 9.0.1.4, 9.0.1.5 y 9.0.4
* Oracle8i Database Server Release 3, versión 8.1.7.4
* Oracle Application Server 10g Release 2 (10.1.2)
* Oracle Application Server 10g (9.0.4), versiones 9.0.4.0, 9.0.4.1
* Oracle9i Application Server Release 2, versiones 9.0.2.3, 9.0.3.1
* Oracle9i Application Server Release 1, versión 1.0.2.2
* Oracle Collaboration Suite Release 2, versiones 9.0.4.1, 9.0.4.2
* Oracle E-Business Suite and Applications Release 11i, versiones 11.5.0 a 11.5.10
* Oracle E-Business Suite and Applications Release 11.0
* Oracle Enterprise Manager Grid Control 10g, versiones 10.1.0.2 y 10.1.0.3
* Oracle Enterprise Manager versions 9.0.4.0, 9.0.4.1
* PeopleSoft EnterpriseOne Applications, versiones 8.9 SP2 y 8.93
* PeopleSoft OneWorldXe/ERP8 Applications, versiones SP22 y superiores
Lo que sí queda confirmado por parte de Oracle, es la fecha de las próximas publicaciones de estos macro-parches, que para el 2005 son el 12 de julio y el 18 de octubre. Es decir, se publican de forma estratégica los segundos martes de los meses enero, abril, julio y octubre, coincidiendo con los boletines de seguridad de Microsoft. De esta forma, Oracle consigue disimular en muchos medios los fallos de sus productos, ya que cualquier posible anuncio queda acallado por las noticias de los parches de Microsoft a los que se da mayor relevancia.
Sin embargo, hay que señalar que a pesar de haber corregido 75 vulnerabilidades en esta actualización, aun existen un elevado número de problemas conocidos, que podrían superar la centena y que no han sido corregidos en este parche, incluyendo vulnerabilidades de inyección SQL y desbordamientos de búfer. Según la política de Oracle, habrá que esperar al mes de julio para una nueva actualización.
La información para la descarga de esta actualización se encuentra disponible en:
http://metalink.oracle.com/metalink/plsql/showdoc?db=Not&id=301040.1
Oracle publicará sus parches de forma trimestral
http://www.hispasec.com/unaaldia/2217
Critical Patch Update – April 2005
http://www.oracle.com/technology/deploy/security/pdf/cpuapr2005.pdf
Oracle releases patches, but not for many known flaws
==== 5.- Outlook and OWA Subject to From Field Spoofing ====
iDEFENSE reported that due to the way Microsoft Office Outlook and Outlook Web Access (OWA) parse From header fields, it’s possible to change the field so that the email message appears to come from a different address. iDEFENSE reports that Microsoft said it might implement a fix in a future service pack but that a security bulletin won’t be released for this issue.
http://list.windowsitpro.com/t?ctl=7392:51B03
