Alerta - Aviso de seguridad de Microsoft 2982792 liberado – Certificados digitales expedidos indebidamente podrían permitir spoofing
¿Cuál es el objetivo de esta alerta?
Esta alerta es para notificarle que Microsoft ha liberado el Aviso de seguridad 2982792 - Certificados digitales expedidos indebidamente podrían permitir spoofing, el 10 de julio de 2014.
Descripción general - Nuevo Aviso de seguridad 2982792
Microsoft tiene conocimiento sobre la existencia de certificados SSL emitidos de forma incorrecta que podrían ser utilizados en intentos de suplantar contenidos (spoofing), realizar ataques de phishing o con man-in-the-middle. El Centro Nacional de Informática (NIC) emitió indebidamente certificados SSL, que opera CAs subordinadas bajo CAs raíz operadas por el Controlador de autoridades de certificación (CCA) del Gobierno de la India, que son CAs presentes en el Almacén de Entidades de Certificación Raíz Confiables. Este problema afecta a todas las versiones compatibles de Microsoft Windows. Microsoft no tiene conocimiento de que haya habido ataques relacionados con esta cuestión.
La CA subordinada ha sido utilizada erróneamente para emitir certificados SSL de varios sitios, incluyendo propiedades Web de Google. Estos certificados SSL podrían usarse para falsificar contenidos, realizar ataques de phishing o con man-in-the-middle contra propiedades Web. Las CAs subordinadas también pueden haber sido utilizadas para la expedición de certificados de otros sitios, actualmente desconocidos, que podrían ser objeto de ataques similares.
Para ayudar a proteger a los clientes de la posible utilización fraudulenta de este certificado digital, Microsoft está actualizando la Lista de certificados confiables (CTL) para todas versiones compatibles de Microsoft Windows, volviendo no confiables los certificados causantes de este problema. Para obtener más información acerca de estos certificados, consulte la sección de Preguntas frecuentes del aviso.
Recomendaciones
Se incluye un actualizador automático de certificados revocados en las ediciones con soporte de Windows 8, Windows 8.1, Windows RT, Windows RT 8.1, Windows Server 2012 y Windows Server 2012 R2, y para los dispositivos con Windows Phone 8 o Windows Phone 8.1. Para estos sistemas operativos o dispositivos, los clientes no tienen que realizar ninguna acción, ya que la CTL se actualizará automáticamente.
Para los sistemas con Windows Vista, Windows 7, Windows Server 2008 o Windows Server 2008 R2 que utilicen el actualizador automático de certificados revocados (consulte el artículo 2677070 de la base de conocimiento de Microsoft para obtener más información), los clientes no tienen que realizar ninguna acción, ya que la CTL se actualizará automáticamente.
No hay ninguna actualización disponible para los sistemas con Windows Vista, Windows 7, Windows Server 2008 o Windows Server 2008 R2 que aún no han instalado el actualizador automático de certificados revocados. Para poder recibir esta actualización, se recomienda que los clientes instalen el actualizador automático de certificados revocados (consulte el artículo 2677070 de la base de conocimiento de Microsoft para obtener más información). Los clientes en entornos desconectados y que ejecutan Windows Vista, Windows 7, Windows Server 2008 o Windows Server 2008 R2 pueden instalar la actualización 2813430 para recibir esta actualización (consulte el artículo 2813430 de la base de conocimiento de Microsoft para obtener más información).
En este momento, no hay ninguna actualización disponible para los clientes que ejecutan Windows Server 2003. Microsoft actualizará este aviso en el momento en que la actualización esté disponible para los clientes de Windows Server 2003.
Para obtener más información, incluyendo las respuestas a las preguntas más frecuentes (FAQ) y enlaces a recursos adicionales, revise el Aviso de seguridad de Microsoft 2982792 en los enlaces que se proporcionan en la sección Recursos adicionales a continuación.
Recursos adicionales
Aviso de seguridad de Microsoft 2982792 - Certificados digitales expedidos indebidamente podrían permitir spoofing - https://technet.microsoft.com/library/security/2982792
Blog del Centro de respuesta de seguridad de Microsoft (MSRC): https://blogs.technet.com/msrc
- Blog de Investigación en Materia de Seguridad y Defensa (SRD): https://blogs.technet.com/srd
Con respecto a la consistencia de la información
Nos esforzamos por proporcionarle información precisa en contenidos estáticos (este correo) y dinámicos (basados en la Web). Ocasionalmente se actualiza el contenido de seguridad de Microsoft colocado en la Web para reflejar la información más reciente. Si esto resulta en una inconsistencia entre la información en este documento y la información en los contenidos de seguridad basados en la Web de Microsoft, éstos últimos prevalecerán.
Si tiene alguna pregunta sobre esta alerta, póngase en contacto con su Gerente Tecnico de la cuenta.
Gracias,
Equipo de Seguridad CSS de Microsoft