Hola, les escribe Roberto Arbeláez.

 

Ayer Microsoft publico el Documento Informativo de Seguridad (Security Advisory)  2757760: http://technet.microsoft.com/security/advisory/2757760

 

En este documento se describe una vulnerabilidad que afecta a Internet Explorer 7, 8 y 9, únicamente sobre sistemas operativos cliente (Windows XP, Vista y Windows 7), los sistemas operativos de servidor no se ven afectados (Windows server 2003, 2008 y 2008R2), debido a que ejecutan IE en modo restringido, lo que impide la ejecución de scripts cuando se usa el navegador desde estas plataformas.

Un ataque exitoso se puede presentar simplemente al navegar una página que contenga código JavaScript diseñado para explotar la vulnerabilidad. Por supuesto, se requiere que el usuario navegue a la página del atacante, y que tenga habilitada la funcionalidad de ejecución de código/scripts en su navegador para que el ataque sea exitoso.

 

Algunos consejos para mitigar el riesgo de ser afectado por esta vulnerabilidad:

 

1) Asegúrese de utilizar una cuenta de usuario con privilegios limitados para navegar. NUNCA se debería usar una cuenta de administrador para realizar labores cotidianas, y mucho menos para navegar. Esto aplica para cualquier sistema, y para cualquier navegador, es un principio básico de seguridad que se debería aplicar siempre, y que permite que en caso de ser afectado por un ataque, el daño sea limitado y de un impacto mucho menor.

2) Actualice su programa antivirus. Si usted es usuario de nuestro antivirus gratuito - Microsoft Security Essentials, o de Forefront Endpoint Protection, y lo ha actualizado hoy, ya está protegido.  Si es usuario de otro antivirus, es muy posible que su fabricante también ya haya liberado una actualización que lo proteja contra esta vulnerabilidad.  Puede obtener Microsoft Security Essentials de manera gratuita aquí: http://windows.microsoft.com/es-XL/windows/products/security-essentials

 

3) Instale EMET (Enhanced Mitigation Experience Toolkit).  El EMET es una herramienta que mejora las características de seguridad de Internet Explorer; con su instalación, IE queda protegido contra esta vulnerabilidad.  Puede obtener EMET aquí: http://support.microsoft.com/kb/2458544

 

4) Deshabilite la funcionalidad de ejecución automática de scripts (contenido activo) en Internet Explorer:  En Herramientas -> Opciones de Internet -> Seguridad, puede configurar la seguridad de la zona de Internet en el nivel máximo (Seguridad Elevada).  Esto hace que el navegador en vez de ejecutar automáticamente Active X, Active Script, JavaScript y otros tipos de scripts, le pregunte si desea o no ejecutarlos. Dejar el navegador configurado de esta manera permite tener un mayor control sobre lo que se ejecuta, y permite reducir de manera considerable el riesgo, no solo respecto a esta vulnerabilidad, si no a cualquier otra vulnerabilidad que pueda llegar a afectar al navegador. Por supuesto, no se deberían ejecutar nunca scripts en sitios no confiables o en los cuales no se piense hacer utilización de funcionalidad avanzada (por ejemplo, carritos de compra, o formularios).

 Mas información sobre como configurar la seguridad de IE:

http://windows.microsoft.com/es-ES/windows-vista/Change-Internet-Explorer-Security-settings

 

 

 

En Microsoft, estamos trabajando para poder darle una solución definitiva a este problema lo más pronto posible.

 

 

Como siempre, si cree que ha sido afectado, tiene derecho a recibir soporte gratuito de seguridad Microsoft. el soporte lo pueden obtener aqui:

–Para usuario final: http://www.microsoft.com/latam/protect/support/default.mspx

–Para usuario corporativo: http://support.microsoft.com/default.aspx?ln=ES-LA

–Teléfonos de las líneas de soporte en Latinoamérica: http://support.microsoft.com/gp/contactusen/?ln=es-la

es importante que tenga en cuenta que el soporte gratuito de seguridad también aplica para cualquier caso de seguridad y de malware (virus, troyanos, gusanos, etc.) sin importar que marca de antivirus use. Así que si ha sido afectado (o sospecha que han sido afectado) por un ataque de seguridad o por malware, no vacile en contactarnos. Nuestros ingenieros de soporte harán la investigación respectiva para determinar si el caso es o no un problema de seguridad y/o de malware, y en caso afirmativo, le darán pronta solución al problema.

También quiero aprovechar para extender una invitación para que nos sigan en twitter en los siguientes alias:

 

@LATAMSRC Información OFICIAL de Microsoft sobre alertas de seguridad, advisories, y boletines. Bajo volumen de twits (cuando se emitan alertas). En español.

@rarbelaez Información general de Seguridad. Alto volumen de twits. En español e inglés.

Saludos,

Roberto Arbeláez

Security Program Manager for Latin America

CSS Security