Una actualización de seguridad para Windows XP y 2003 en mayo 2004
Como es habitual cada segundo martes de mes Microsoft publica las
actualizaciones de seguridad correspondientes a en esta ocasión al mes
de mayo. En esta ocasión se trata de un parche destinado a solucionar
una vulnerabilidad recientemente descubierta que afecta a sistemas
Windows XP y 2003 en el Centro de Ayuda y Soporte (Help and Support
Center) debido a la forma en que se trata la validación HCP URL.
Un atacante que logre explotar exitosamente esta vulnerabilidad logrará
tomar el control completo de los sistemas afectados, incluyendo la
instalación de programas; visualizar, cambiar, o eliminar datos; o
crear nuevas cuentas de usuario con privilegios de administración
Un atacante podrá explotar la vulnerabilidad construyendo una URL HCP
maliciosa que podrá permitir la ejecución remota de código si un
usuario visita un sitio web malicioso o visualiza un e-mail construido
a tal efecto.
Aunque se requiere interacción del usuario para lograr explotar
exitosamente la vulnerabilidad Microsoft recomienda a los usuarios
instalar la actualización tan pronto se tenga oportunidad.
Como contramedida se recomienda eliminar la funcionalidad de ayuda
mientras se evalúa el impacto de instalación de la actualización. Para
obtener la actualización basta ir a www.windowsupdate.com.
Las actualizaciones también pueden descargarse directaemnte desde:
Microsoft Windows XP y Windows XP SP 1
http://www.microsoft.com/downloads/d...displaylang=en
Microsoft Windows XP 64-Bit
http://www.microsoft.com/downloads/d...displaylang=en
Microsoft Windows Server 2003
http://www.microsoft.com/downloads/d...displaylang=en
Microsoft Windows Server 2003 64-Bit
http://www.microsoft.com/downloads/d...displaylang=en
Más Información:
Microsoft Security Bulletin MS04-015
Vulnerability in Help and Support Center Could Allow Remote Code
Execution
http://www.microsoft.com/technet/security/bulletin/MS04-015.mspx
Windows Help Center - Dvdupgrade
http://www.exploitlabs.com/files/advisories/EXPL-A-2003-027-helpctr.txt
Fuente: Hispasec
