Etiqueta: Internet Explorer

Microsoft despliega su mejor paquete de seguridad del año

Microsoft ha hecho públicos los paquetes de seguridad, están divididos en 14 boletines de seguridad, incluyendo uno específico dedicado a Flash Player. De los mencionados, 7 han sido considerados como críticos. En su mayoría, están dirigidos a solventar fallos detectados en Windows, Internet Explorer, Microsoft Edge, Exchange y Office, además de los servicios y aplicaciones web asociadas a Office 365. Un total de 50 vulnerabilidades cubren el espectro final, con 26 asociadas al producto Flash Player de Adobe. También se incluye el navegador Edge.

Microsoft destaca que los administradores de TI deben dar prioridad a las correcciones de Internet Explorer, previstas en el boletín MS16-104, así como las de Microsoft Edge (MS16-105), Microsoft Office (MS16-107), Microsoft Graphics Component (MS16-106), OLE Automation para VBScript (MS16-116) y Adobe Flash Player (MS16-117).

La mayoría de las vulnerabilidades pueden ser explotadas de manera que permitan la ejecución de código de forma remota, engañando a los usuarios a visitar determinadas URL comprometidas, o a abrir archivos diseñados para propagar código malicioso. Estos suelen ser los vectores de ataques más explotados por los cibercriminales para llevar a cabo sus ataques.

Otra de las vulnerabilidades relacionadas con los navegadores de Microsoft, tanto de Explorer como Edge, CVE-2016-3351, se podría aprovechar para divulgar información en cadena. Esta vulnerabilidad no ha sido divulgada al público, pero ha sido ya empleada. La compañía no ha dado más detalles al respecto.

Silverlight ha recibido una buena actualización, la MS16-109 que también es de prioridad, a pesar de que estar clasificada como importante, y no como crítica. La vulnerabilidad podría provocar la ejecución remota de código si un usuario visita una página web comprometida que contiene una aplicación diseñada especialmente para Silverlight.

En el apartado de los servidores, los administradores deben centrarse en la actualización para Microsoft Exchange (MS16-108), que parchea las vulnerabilidades críticas en el Oracle Outside In Technology (OIT). Se trata de una colección de (SDK) que pueden ser utilizados para extraer, formatos de archivo no estructurados.

Los investigadores del equipo de Talos de Cisco encontraron a principios de año dichas vulnerabilidades asociadas a Oracle OIT e informaron de que podrían afectar a muchos proveedores, incluyendo Microsoft Exchange. Oracle lanzó actualizaciones en el mes de julio y Microsoft ha importado ahora estas correcciones.

La actualización de Office también debe estar en la agenda de los administradores de TI encargados de tener al día los servidores, dado que se aplica a Microsoft SharePoint Server 2007, 2010 y 2013. Según los fallos encontrados, se podría permitir a atacantes tomar el control completo de los servidores afectados, mediante el servicio de automatización de Word y Excel, destaca en su blog Amol Sarwate, director de vulnerabilidades de los laboratorios de Qualys.

Lucian Constantin, IDG News Service

Microsoft corrige los errores de Internet Explorer y otras 50 vulnerabilidades

Los parches están organizados en 16 boletines de seguridad, ocho de ellos considerados críticos y otros ocho sólo como importantes.

A manos de un año de estrenar Edge, el anterior navegador de Microsoft, Internet Explorer sigue recibiendo soporte, se han publicado parches para 51 vulnerabilidades, incluyendo una que afecta a Internet Explorer (IE)  y que los hackers han utilizado en ataques dirigidos a organizaciones de Corea del Sur. Los parches de Microsoft se han organizado en 16 boletines de seguridad, ocho de ellos calificados como críticos y otros ocho como importantes. Los productos afectados incluyen Windows, Internet Explorer, Microsoft Edge, Office y Microsoft.NET Framework. Los parches incluidos en los boletines de seguridad de Internet Explorer y Edge, MS16-051 y MS16-052, se encuentran entre los más importantes y deben tener prioridad porque pueden ser explotados para comprometer ordenadores cuando los usuarios visiten páginas web especialmente diseñadas.

La vulnerabilidad de IE activamente explotada  ha sido registrada como CVE-2016-0189 y fue reportada a Microsoft por investigadores de seguridad de Symantec. Según estos investigadores, el exploit se encontró en una página web de Corea del Sur, la cual seguramente fue utilizada para ataques de phishing o watering-hole. Los usuarios deben arreglar este fallo tan pronto como les sea posible porque no hay garantías de que el exploit se haya utilizado solo en Corea del Sur e incluso, si así fuera, es sólo cuestión de tiempo que se extienda a otros sitios.

Todos los boletines críticos deben tener prioridad, pero los administradores deberían, dependiendo de sus configuraciones de red, prestar atención también a los que Microsoft ha calificado como importantes. Según investigadores de Tripwire uno de estos boletines es el MS16-061, que incluye un parche para un fallo de escalado de privilegios (CVE-2016-0178) en el manejo de solicitudes RPC.  “Aunque Microsoft califica el CVE-2016-0178 como de menos probable de ser explotado, el potencial para abusar de él es enorme”, aseguró Craig Young, investigador de Tripwire. “Mientras que el firewall de Windows no exponga este servicio por defecto, habrá muchos casos en que los operadores de red abrirán el acceso para permitir a las herramientas administrativas operar en funcionalidades de red críticas. Afortunadamente no hay razón para exponer las RCP en Internet, pero un ataque que haya obtenido acceso básico a una LAN podría utilizar este acceso no sólo para las estaciones de trabajo sino también para infraestructuras críticas como los controles de dominio Active Directory”.

Otra de las actualizaciones está seriada con el código MS16-058, también calificada como importante, corrige una vulnerabilidad de ejecución remota de código en Windows IIS. “Si ejecuta ISS como un servidor web, debería comprobar si los atacantes tienen potencial para adquirirlos privilegios requeridos por su sistema”, explicó Wolfgang Kandek, CTO de Qualys.

Lucian Constantin

 

¿Estamos preparados para un futuro sin Internet Explorer?

aplicaciones-web

El clásico navegador de Microsoft va de salida para darle paso a Edge, además ha llegado el momento de que creadores de tecnología y de servicios web se desplacen al entorno actual.

Durante varios años, las empresas de TI han estado ligadas al navegador de Microsoft, el cual ha permanecido como uno de los navegadores web estándar más extendidos. Pero el tiempo le ha caído muy mal a Internet Explorer, con ello unas serie de incompatibilidades con respecto al HTML actual.

Mientras los dispositivos móviles y computadoras Apple han ido creciendo en popularidad, tecnologías propietarias como ActiveX y Java, presentes en Explorer, han ido lanzando sendas versiones en modo de poderosas herramientas capaces encadenar y mantener costosas aplicaciones apartadas del mundo de la movilidad y la escalabilidad.

Microsoft ha dedicado mucho tiempo y esfuerzos en intentar que las empresas adopten las últimas versiones de IE. Pero esto no ha sido así en lugar de Explorer, la mayoría ha optado por Google Chrome, Mozilla Firefox y Safari de Apple además de un buen número de ellas emplea IE en los sistemas antiguos, mientras que reserva Chrome para usos más actuales.

Dada la cercanía el final le llagará a internet Explorer, Microsoft ha tomado una segunda rienda con Windows 10: presenta un nuevo navegador llamado Edge aunque su nombre código era llamado Project Spartan, se deshace de tecnologías anticuadas y adopta muchas más especificaciones modernas en HTML. Edge supone una reconstrucción totalmente distinta del motor de renderizado de Microsoft Trident HTML, enfocándose en la especificación HTML5, al tiempo que se libera de la mayoría de elementos legacy de anteriores versiones de IE. Edge es, en definitiva, bastante similar a Chrome o Safari.

Mientras el despliegue de Windows 10 provoca el entierro de Windows XP, Windows Vista, Windows 7, y Windows 8 (al menos eso es lo que quiere Microsoft), el mercado va a ser testigo de cómo desaparecen antiguas versiones de Explorer. La vieja herramienta de render, desarrollada con Trident, todavía podrá verse en IE11; por lo cual a no ser que el usuario disponga de los atributos de grupo adecuados, el nuevo Windows 10 situará a Edge como navegador por defecto. Incluir Internet Explorer 11 en Windows 10 será para apoyo durante está transición ya que en el futuro dejara de incluirse.

 -Marga Verdú