Hola, les escribe Roberto Arbeláez.
A principios de esta semana, Microsoft Publicó el Security Advisory 275776 anunciando la existencia de una vulnerabilidad en Internet Explorer, y dando estrategias de mitigación y guías sobre cómo protegerse. El Miércoles pasado se lanzó una solución temporal Fix- it, que con un solo clic, reconfigura Internet Explorer protegiéndolo contra la explotación de ésta vulnerabilidad, dando a nuestros clientes una opción más para protegerse.
El día de hoy, Viernes 21 de Abril, Microsoft publicó el boletín de seguridad MS12-063 que soluciona de manera definitiva esta vulnerabilidad, así como otras cuatro (4) vulnerabilidades que no eran conocidas de manera pública.
Adicionalmente se publicó el Security Advisory 2755801, que anuncia una actualización solucionando vulnerabilidades en Adobe Flash Player en Internet Explorer 10 sobre Windows 8. La mayoría de los clientes tienen actualizaciones automáticas activadas y no será necesaria ninguna acción porque las protecciones se descargarán e instalará automáticamente. Los clientes que no utilicen las actualizaciones automáticas deben utilizar su software de administración de actualizaciones o acceder al servicio en línea Microsoft Update o Windows Update para protegerse.
Microsoft recomienda instalar la actualización tan pronto como sea posible.
Para las personas que debido a esta vulnerabilidad recomiendan migrar a otros navegadores, les recordamos que este tipo de vulnerabilidades afectan a todos los navegadores incluyendo a Google Chrome y Mozilla Firefox, así como a otras plataformas como las de Apple. Microsoft de manera diligente aplica las mejores prácticas de desarrollo seguro de software para minimizar la incidencia de vulnerabilidades en nuestro software, y para reducir el impacto de las vulnerabilidades que aparezcan; y una vez aparecen, desarrollamos rápidamente actualizaciones para solucionarlas de manera completa.
Asímismo, a través de nuestros canales de atención al clientes damos soporte de manera gratuita a todos nuestros clientes afectados por problemas de seguridad, siempre de manera rápida y eficiente.
Este tipo de incidentes son un claro ejemplo de nuestro compromiso con la seguridad y de la prioridad que le damos a asegurar nuestros productos y nuestra plataforma.
Como siempre, si cree que ha sido afectado, tiene derecho a recibir soporte gratuito de seguridad Microsoft. el soporte lo pueden obtener aquí:
–Para usuario final: http://www.microsoft.com/latam/protect/support/default.mspx
–Para usuario corporativo: http://support.microsoft.com/default.aspx?ln=ES-LA
–Teléfonos de las líneas de soporte en Latinoamérica: http://support.microsoft.com/gp/contactusen/?ln=es-la
es importante que tenga en cuenta que el soporte gratuito de seguridad también aplica para cualquier caso de seguridad y de malware (virus, troyanos, gusanos, etc.) sin importar que marca de antivirus use. Así que si ha sido afectado (o sospecha que han sido afectado) por un ataque de seguridad o por malware, no vacile en contactarnos. Nuestros ingenieros de soporte harán la investigación respectiva para determinar si el caso es o no un problema de seguridad y/o de malware, y en caso afirmativo, le darán pronta solución al problema.
También quiero aprovechar para extender una invitación para que nos sigan en twitter en los siguientes alias:
@LATAMSRC Información OFICIAL de Microsoft sobre alertas de seguridad, advisories, y boletines. Bajo volumen de twits (cuando se emitan alertas). En español.
@rarbelaez Información general de Seguridad. Alto volumen de twits. En español e inglés.
Saludos,
Roberto Arbeláez
Security Program Manager for Latin America
CSS Security
Ayer Microsoft publico el Documento Informativo de Seguridad (Security Advisory) 2757760: http://technet.microsoft.com/security/advisory/2757760
En este documento se describe una vulnerabilidad que afecta a Internet Explorer 7, 8 y 9, únicamente sobre sistemas operativos cliente (Windows XP, Vista y Windows 7), los sistemas operativos de servidor no se ven afectados (Windows server 2003, 2008 y 2008R2), debido a que ejecutan IE en modo restringido, lo que impide la ejecución de scripts cuando se usa el navegador desde estas plataformas.
Un ataque exitoso se puede presentar simplemente al navegar una página que contenga código JavaScript diseñado para explotar la vulnerabilidad. Por supuesto, se requiere que el usuario navegue a la página del atacante, y que tenga habilitada la funcionalidad de ejecución de código/scripts en su navegador para que el ataque sea exitoso.
Algunos consejos para mitigar el riesgo de ser afectado por esta vulnerabilidad:
1) Asegúrese de utilizar una cuenta de usuario con privilegios limitados para navegar. NUNCA se debería usar una cuenta de administrador para realizar labores cotidianas, y mucho menos para navegar. Esto aplica para cualquier sistema, y para cualquier navegador, es un principio básico de seguridad que se debería aplicar siempre, y que permite que en caso de ser afectado por un ataque, el daño sea limitado y de un impacto mucho menor.
2) Actualice su programa antivirus. Si usted es usuario de nuestro antivirus gratuito - Microsoft Security Essentials, o de Forefront Endpoint Protection, y lo ha actualizado hoy, ya está protegido. Si es usuario de otro antivirus, es muy posible que su fabricante también ya haya liberado una actualización que lo proteja contra esta vulnerabilidad. Puede obtener Microsoft Security Essentials de manera gratuita aquí: http://windows.microsoft.com/es-XL/windows/products/security-essentials
3) Instale EMET (Enhanced Mitigation Experience Toolkit). El EMET es una herramienta que mejora las características de seguridad de Internet Explorer; con su instalación, IE queda protegido contra esta vulnerabilidad. Puede obtener EMET aquí: http://support.microsoft.com/kb/2458544
4) Deshabilite la funcionalidad de ejecución automática de scripts (contenido activo) en Internet Explorer: En Herramientas -> Opciones de Internet -> Seguridad, puede configurar la seguridad de la zona de Internet en el nivel máximo (Seguridad Elevada). Esto hace que el navegador en vez de ejecutar automáticamente Active X, Active Script, JavaScript y otros tipos de scripts, le pregunte si desea o no ejecutarlos. Dejar el navegador configurado de esta manera permite tener un mayor control sobre lo que se ejecuta, y permite reducir de manera considerable el riesgo, no solo respecto a esta vulnerabilidad, si no a cualquier otra vulnerabilidad que pueda llegar a afectar al navegador. Por supuesto, no se deberían ejecutar nunca scripts en sitios no confiables o en los cuales no se piense hacer utilización de funcionalidad avanzada (por ejemplo, carritos de compra, o formularios).
Mas información sobre como configurar la seguridad de IE:
http://windows.microsoft.com/es-ES/windows-vista/Change-Internet-Explorer-Security-settings
En Microsoft, estamos trabajando para poder darle una solución definitiva a este problema lo más pronto posible.
Como siempre, si cree que ha sido afectado, tiene derecho a recibir soporte gratuito de seguridad Microsoft. el soporte lo pueden obtener aqui: