Etiqueta: Internet Explorer

Microsoft despliega su mejor paquete de seguridad del a√Īo

Microsoft ha hecho p√ļblicos los paquetes de seguridad, est√°n divididos en 14 boletines de seguridad, incluyendo uno espec√≠fico dedicado a Flash Player. De los mencionados, 7 han sido considerados como cr√≠ticos. En su mayor√≠a, est√°n dirigidos a solventar fallos detectados en Windows, Internet Explorer, Microsoft Edge, Exchange y Office, adem√°s de los servicios y aplicaciones web asociadas a Office 365. Un total de 50 vulnerabilidades cubren el espectro final, con 26 asociadas al producto Flash Player de Adobe. Tambi√©n se incluye el navegador Edge.

Microsoft destaca que los administradores de TI deben dar prioridad a las correcciones de Internet Explorer, previstas en el boletín MS16-104, así como las de Microsoft Edge (MS16-105), Microsoft Office (MS16-107), Microsoft Graphics Component (MS16-106), OLE Automation para VBScript (MS16-116) y Adobe Flash Player (MS16-117).

La mayor√≠a de las vulnerabilidades pueden ser explotadas de manera que permitan la ejecuci√≥n de c√≥digo de forma remota, enga√Īando a los usuarios a visitar determinadas URL comprometidas, o a abrir archivos dise√Īados para propagar c√≥digo malicioso. Estos suelen ser los vectores de ataques m√°s explotados por los cibercriminales para llevar a cabo sus ataques.

Otra de las vulnerabilidades relacionadas con los navegadores de Microsoft, tanto de Explorer como Edge, CVE-2016-3351, se podr√≠a aprovechar para divulgar informaci√≥n en cadena. Esta vulnerabilidad no ha sido divulgada al p√ļblico, pero ha sido ya empleada. La compa√Ī√≠a no ha dado m√°s detalles al respecto.

Silverlight ha recibido una buena actualizaci√≥n, la MS16-109 que tambi√©n es de prioridad, a pesar de que estar clasificada como importante, y no como cr√≠tica. La vulnerabilidad podr√≠a provocar la ejecuci√≥n remota de c√≥digo si un usuario visita una p√°gina web comprometida que contiene una aplicaci√≥n dise√Īada especialmente para Silverlight.

En el apartado de los servidores, los administradores deben centrarse en la actualización para Microsoft Exchange (MS16-108), que parchea las vulnerabilidades críticas en el Oracle Outside In Technology (OIT). Se trata de una colección de (SDK) que pueden ser utilizados para extraer, formatos de archivo no estructurados.

Los investigadores del equipo de Talos de Cisco encontraron a principios de a√Īo dichas vulnerabilidades asociadas a Oracle OIT e informaron de que podr√≠an afectar a muchos proveedores, incluyendo Microsoft Exchange. Oracle lanz√≥ actualizaciones en el mes de julio y Microsoft ha importado ahora estas correcciones.

La actualizaci√≥n de Office tambi√©n debe estar en la agenda de los administradores de TI encargados de tener al d√≠a los servidores, dado que se aplica a Microsoft SharePoint Server 2007, 2010 y 2013. Seg√ļn los fallos encontrados, se podr√≠a permitir a atacantes tomar el control completo de los servidores afectados, mediante el servicio de automatizaci√≥n de Word y Excel, destaca en su blog Amol Sarwate, director de vulnerabilidades de los laboratorios de Qualys.

Lucian Constantin, IDG News Service

Microsoft corrige los errores de Internet Explorer y otras 50 vulnerabilidades

Los parches están organizados en 16 boletines de seguridad, ocho de ellos considerados críticos y otros ocho sólo como importantes.

A manos de un a√Īo de estrenar Edge, el anterior navegador de Microsoft, Internet Explorer sigue recibiendo soporte, se han publicado parches para 51 vulnerabilidades, incluyendo una que afecta a Internet Explorer (IE)¬† y que los hackers han utilizado en ataques dirigidos a organizaciones de Corea del Sur. Los parches de Microsoft se han organizado en 16 boletines de seguridad, ocho de ellos calificados como cr√≠ticos y otros ocho como importantes. Los productos afectados incluyen Windows, Internet Explorer, Microsoft Edge, Office y Microsoft.NET Framework. Los parches incluidos en los boletines de seguridad de Internet Explorer y Edge, MS16-051 y MS16-052, se encuentran entre los m√°s importantes y deben tener prioridad porque pueden ser explotados para comprometer ordenadores cuando los usuarios visiten p√°ginas web especialmente dise√Īadas.

La vulnerabilidad de IE activamente explotada¬† ha sido registrada como CVE-2016-0189 y fue reportada a Microsoft por investigadores de seguridad de Symantec. Seg√ļn estos investigadores, el exploit se encontr√≥ en una p√°gina web de Corea del Sur, la cual seguramente fue utilizada para ataques de phishing o watering-hole. Los usuarios deben arreglar este fallo tan pronto como les sea posible porque no hay garant√≠as de que el exploit se haya utilizado solo en Corea del Sur e incluso, si as√≠ fuera, es s√≥lo cuesti√≥n de tiempo que se extienda a otros sitios.

Todos los boletines cr√≠ticos deben tener prioridad, pero los administradores deber√≠an, dependiendo de sus configuraciones de red, prestar atenci√≥n tambi√©n a los que Microsoft ha calificado como importantes. Seg√ļn investigadores de Tripwire uno de estos boletines es el MS16-061, que incluye un parche para un fallo de escalado de privilegios (CVE-2016-0178) en el manejo de solicitudes RPC. ¬†‚ÄúAunque Microsoft califica el CVE-2016-0178 como de menos probable de ser explotado, el potencial para abusar de √©l es enorme‚ÄĚ, asegur√≥ Craig Young, investigador de Tripwire. ‚ÄúMientras que el firewall de Windows no exponga este servicio por defecto, habr√° muchos casos en que los operadores de red abrir√°n el acceso para permitir a las herramientas administrativas operar en funcionalidades de red cr√≠ticas. Afortunadamente no hay raz√≥n para exponer las RCP en Internet, pero un ataque que haya obtenido acceso b√°sico a una LAN podr√≠a utilizar este acceso no s√≥lo para las estaciones de trabajo sino tambi√©n para infraestructuras cr√≠ticas como los controles de dominio Active Directory‚ÄĚ.

Otra de las actualizaciones est√° seriada con el c√≥digo MS16-058, tambi√©n calificada como importante, corrige una vulnerabilidad de ejecuci√≥n remota de c√≥digo en Windows IIS. “Si ejecuta ISS como un servidor web, deber√≠a comprobar si los atacantes tienen potencial para adquirirlos privilegios requeridos por su sistema‚ÄĚ, explic√≥ Wolfgang Kandek, CTO de Qualys.

Lucian Constantin

 

¬ŅEstamos preparados para un futuro sin Internet Explorer?

aplicaciones-web

El clásico navegador de Microsoft va de salida para darle paso a Edge, además ha llegado el momento de que creadores de tecnología y de servicios web se desplacen al entorno actual.

Durante varios a√Īos, las empresas de TI han estado ligadas al navegador de Microsoft, el cual ha permanecido como uno de los navegadores web est√°ndar m√°s extendidos. Pero el tiempo le ha ca√≠do muy mal a Internet Explorer, con ello unas serie de incompatibilidades con respecto al HTML actual.

Mientras los dispositivos móviles y computadoras Apple han ido creciendo en popularidad, tecnologías propietarias como ActiveX y Java, presentes en Explorer, han ido lanzando sendas versiones en modo de poderosas herramientas capaces encadenar y mantener costosas aplicaciones apartadas del mundo de la movilidad y la escalabilidad.

Microsoft ha dedicado mucho tiempo y esfuerzos en intentar que las empresas adopten las √ļltimas versiones de IE. Pero esto no ha sido as√≠ en lugar de Explorer, la mayor√≠a ha optado por Google Chrome, Mozilla Firefox y Safari de Apple adem√°s de un buen n√ļmero de ellas emplea IE en los sistemas antiguos, mientras que reserva Chrome para usos m√°s actuales.

Dada la cercanía el final le llagará a internet Explorer, Microsoft ha tomado una segunda rienda con Windows 10: presenta un nuevo navegador llamado Edge aunque su nombre código era llamado Project Spartan, se deshace de tecnologías anticuadas y adopta muchas más especificaciones modernas en HTML. Edge supone una reconstrucción totalmente distinta del motor de renderizado de Microsoft Trident HTML, enfocándose en la especificación HTML5, al tiempo que se libera de la mayoría de elementos legacy de anteriores versiones de IE. Edge es, en definitiva, bastante similar a Chrome o Safari.

Mientras el despliegue de Windows 10 provoca el entierro de Windows XP, Windows Vista, Windows 7, y Windows 8 (al menos eso es lo que quiere Microsoft), el mercado va a ser testigo de cómo desaparecen antiguas versiones de Explorer. La vieja herramienta de render, desarrollada con Trident, todavía podrá verse en IE11; por lo cual a no ser que el usuario disponga de los atributos de grupo adecuados, el nuevo Windows 10 situará a Edge como navegador por defecto. Incluir Internet Explorer 11 en Windows 10 será para apoyo durante está transición ya que en el futuro dejara de incluirse.

¬†-Marga Verd√ļ