Phenquestions
Microsoft publicó hoy un nuevo boletín de seguridad fuera de banda que informa sobre una vulnerabilidad de seguridad crítica recién detectada en el navegador web Internet Explorer de la empresa.
La vulnerabilidad, que ya se explota en la naturaleza según la compañía, afecta a Internet Explorer 7 a 11 en los sistemas operativos cliente y servidor. Microsoft Edge, el navegador web predeterminado de Windows 10, no aparece en la página y, por lo tanto, no se ve afectado por la vulnerabilidad.
La vulnerabilidad se considera crítica para todos los sistemas operativos del cliente y moderada para todos los sistemas operativos de servidor de la empresa.
Microsoft lanzó parches para todas las versiones afectadas (y compatibles) de Windows. Estos parches ya están disponibles a través de Windows Update y a través del Centro de descargas de Microsoft.
La actualización aparece como "actualización acumulativa para Windows 10 (KB3081444)" para sistemas Windows 10 y aparece con el código KB3087985 en versiones anteriores de Windows. La actualización KB3078071 es un requisito previo para esa actualización en Windows 8.1 y 7, y Windows Server 2008 R2 y 2012 R2.
Los atacantes pueden explotar la vulnerabilidad a través de varios medios, por ejemplo, creando páginas web que explotan la vulnerabilidad, correos electrónicos HTML o publicidad web. Todo lo que se necesita para desencadenar la vulnerabilidad es que estos contenidos se carguen en una versión afectada de Internet Explorer, no se requiere una interacción con el sitio aparte de eso.
Los atacantes obtienen los mismos derechos que el usuario actual en el sistema. Si el usuario que inició sesión tiene derechos administrativos, es posible una toma de control completa del sistema, ya que permitiría al atacante modificar la configuración del sistema, crear o modificar cuentas de usuario, instalar o eliminar software, y más.
Microsoft menciona dos factores atenuantes en el aviso de seguridad. Un nivel de usuario no administrativo del usuario que inició sesión puede afectar el efecto en el sistema. Además, Microsoft EMET, el kit de herramientas de experiencia de mitigación mejorada de la compañía, ayuda a mitigar el ataque según Microsoft, siempre que esté configurado correctamente para funcionar con el navegador web Internet Explorer.
Los enlaces de descarga para todos los sistemas operativos compatibles se enumeran en la página del boletín de seguridad en el sitio web de Microsoft. Para descargar la actualización manualmente, busque la versión instalada de Internet Explorer en el software afectado y haga clic en el enlace al lado del sistema operativo en el que se ejecuta la computadora.
Este es el segundo parche de emergencia lanzado en las últimas dos semanas. Microsoft publicó el boletín MS15-078 a fines de julio para todos los sistemas operativos compatibles que aborda una vulnerabilidad crítica en Microsoft Font Driver.
