Lanzamiento de actualización de seguridad de Microsoft de enero de 2018
¿Cuál es el propósito de esta alerta?
Esta alerta le proporciona información general sobre nuevas actualizaciones de seguridad publicadas el martes, 9 de enero de 2018. Cada mes, Microsoft publica actualizaciones de seguridad para solucionar vulnerabilidades de seguridad en los productos de Microsoft.
Descripción de la actualización de seguridad
El martes, 9 de enero de 2018, Microsoft publicará nuevas actualizaciones de seguridad que afectan a los siguientes productos de Microsoft:
| Familia de productos | Gravedad máxima | Impacto máximo |
Artículos de KB relacionados o páginas web de soporte técnico |
| Componentes relacionados con Microsoft Office | Crítica | Ejecución del código remoto |
El número de artículos de KB asociados con Office para cada lanzamiento de actualizaciones de seguridad mensual varía en función de la cantidad de CVE y de componentes afectados. En enero, hay más de 30 artículos de KB asociados con actualizaciones de seguridad para Office y componentes relacionados con Office, un número demasiado elevado para enumerarlos todos en esta tabla de resumen. |
| Microsoft SharePoint | Crítica | Ejecución del código remoto |
Información de Microsoft sobre las actualizaciones de seguridad para el software de SharePoint afectado: 3114998, 3141547, 4011579, 4011599, 4011609, 4011642 y 4011653. |
| .NET Framework | Importante | Denegación de servicio |
El número de artículos de KB relacionados con .NET Framework para cada lanzamiento de actualizaciones de seguridad varía en función de la cantidad de CVE y de componentes afectados. En enero, hay más de 20 artículos de KB asociados con actualizaciones de seguridad para .NET Framework, un número demasiado elevado para enumerarlos todos en esta tabla de resumen. |
| .NET Core y ASP.NET Core | Importante | Elevación de privilegios |
ASP.NET Core es un marco de código abierto, de alto rendimiento y multiplataforma para la compilación de aplicaciones modernas, basadas en la nube y conectadas a Internet. .NET Core es una plataforma de desarrollo de uso general que mantienen Microsoft y la comunidad de .NET en GitHub. |
| Adobe Flash Player | Crítica | Ejecución del código remoto |
Información de Microsoft sobre las actualizaciones de seguridad para Adobe Flash Player: 4056887. |
Descripción de las vulnerabilidades de seguridad
A continuación se proporciona un resumen en el que se muestra el número de vulnerabilidades tratadas en esta versión, desglosado por producto o componente y por impacto.
| Detalles de la vulnerabilidad (1) |
RCE |
EOP |
ID |
SFB |
DOS |
SPF |
TAM |
Divulgación pública |
Vulnerabilidad conocida |
CVSS máx. |
| Software relacionado con Microsoft Office |
15 |
0 |
1 |
0 |
0 |
1 |
0 |
0 |
1 |
N/D (2) |
| Microsoft SharePoint |
2 |
0 |
1 |
0 |
0 |
1 |
1 |
0 |
0 |
N/D (2) |
| .NET Framework |
0 |
0 |
0 |
1 |
1 |
0 |
0 |
0 |
0 |
N/D (2) |
| .NET Core y ASP.NET Core |
0 |
1 |
0 |
1 |
1 |
0 |
1 |
0 |
0 |
N/D (2) |
| Adobe Flash Player |
0 |
0 |
1 |
0 |
0 |
0 |
0 |
0 |
0 |
N/D (2) |
|
RCE = Ejecución de código remoto | EOP = Elevación de privilegios | ID = Divulgación de informaciónSFB = Franqueo de características de seguridad | DOS = Denegación de servicio | SPF = Suplantación de identidad | TAM = Manipulación |
||||||||||
(1) Es posible que las vulnerabilidades que aparecen en varios componentes se representen más de una vez en la tabla.
(2) En el momento de la publicación, las puntuaciones CVE solo estaban disponibles para Windows, Internet Explorer y Microsoft Edge.
Guía de actualizaciones de seguridad
La Guía de actualizaciones de seguridad es nuestro recurso recomendado para obtener información sobre actualizaciones de seguridad. Puede personalizar sus vistas y crear hojas de cálculo del software afectado, así como descargar datos a través de una API de RESTful. Le recordamos que la Guía de actualizaciones de seguridad ya ha sustituido a las páginas web de los boletines de seguridad habituales.
Portal de la Guía de actualizaciones de seguridad: https://aka.ms/securityupdateguide
Página web de preguntas más frecuentes (P+F) sobre la Guía de actualizaciones de seguridad: https://technet.microsoft.com/es-es/security/mt791750
Detalles de la vulnerabilidad
A continuación, encontrará los resúmenes de algunas de las vulnerabilidades de seguridad de esta versión. Estas vulnerabilidades se han seleccionado entre el conjunto global de vulnerabilidades existentes en la versión por alguno de los motivos siguientes: 1) Hemos recibido consultas relacionadas con la vulnerabilidad; 2) la vulnerabilidad se ha puesto de relieve en la prensa especializada; o 3) la vulnerabilidad puede resultar más perjudicial que otras de la misma versión. Dado que no proporcionamos resúmenes para todas las vulnerabilidades de la versión, debería consultar el contenido de la Guía de actualizaciones de seguridad
para buscar la información que no esté contenida en estos resúmenes.
| CVE-2018-0802 | Vulnerabilidad de daño de la memoria de Microsoft Office |
| Resumen ejecutivo | Existe una vulnerabilidad de ejecución de código remoto en el software de Microsoft Office cuando dicho software no logra controlar correctamente los objetos en la memoria. Un atacante que aprovechara la vulnerabilidad con éxito podría ejecutar un código arbitrario en el contexto del usuario actual. Si el usuario actual inició sesión con privilegios administrativos, un atacante podría tomar el control del sistema afectado. Así, un atacante podría instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas con todos los derechos de usuario. Los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que los usuarios que dispongan de privilegios administrativos.La actualización de seguridad contrarresta la vulnerabilidad eliminando la funcionalidad Editor de ecuaciones.Para obtener más información sobre este cambio, consulte el siguiente artículo: https://support.microsoft.com/es-es/help/4057882 |
| Vectores de ataque | La vulnerabilidad de seguridad requiere que un usuario abra un archivo especialmente diseñado con una versión afectada del software de Microsoft Office o de Microsoft WordPad. En un escenario de ataque por correo electrónico, un atacante podría aprovechar la vulnerabilidad enviando al usuario el archivo especialmente diseñado y convenciéndolo para que lo abriera. En un escenario de ataque web, un atacante podría hospedar un sitio web (o sacar provecho de un sitio web en peligro que acepta u hospeda contenido proporcionado por el usuario) que contiene un archivo especialmente diseñado para aprovechar la vulnerabilidad. |
| Factores mitigadores | Un atacante no puede forzar de ninguna forma a los usuarios a visualizar el sitio web. En cambio, un atacante tendría que convencer a los usuarios para que hagan clic en un enlace, normalmente llamando su atención por correo electrónico o mensaje instantáneo, y, a continuación, convencerlos para que abran el archivo especialmente diseñado a tal efecto. |
| Soluciones alternativas | Microsoft no ha identificado ninguna solución alternativa. |
| Software afectado | Microsoft Office 2007, Office 2010, Office 2013, Office 2016, Word 2007, Word 2010, Word 2013 y Word 2016. |
| Impacto | Ejecución del código remoto |
| Gravedad | Importante |
| ¿Divulgación pública? | No |
| ¿Vulnerabilidades conocidas? | Sí |
| Evaluación de vulnerabilidad, más reciente: | 0; se sabe que se ha aprovechado la vulnerabilidad en el momento de lanzar la actualización. |
| Evaluación de vulnerabilidad, heredada: | 0; se sabe que se ha aprovechado la vulnerabilidad en el momento de lanzar la actualización. |
| Más detalles | https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2018-0802 |
| CVE-2018-0764 | Vulnerabilidad de Denegación de servicio en .NET y .NET Core |
| Resumen ejecutivo | Existe una vulnerabilidad de Denegación de servicio cuando .NET y .NET Core no procesan adecuadamente los documentos XML. Un atacante que aprovechara la vulnerabilidad con éxito podría provocar una denegación de servicio frente a una aplicación .NET.La actualización contrarresta la vulnerabilidad corrigiendo la forma en la que las aplicaciones .NET y .NET Core gestionan el procesamiento de los documentos XML. |
| Vectores de ataque | Un atacante remoto sin autenticación podría aprovechar esta vulnerabilidad para emitir solicitudes diseñadas especialmente para una aplicación .NET o .NET Core. |
| Factores mitigadores | Microsoft no ha identificado ningún factor mitigador para esta vulnerabilidad. |
| Soluciones alternativas | Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad. |
| Software afectado | Microsoft .NET Framework 3.0 SP2, Microsoft .NET Framework 3.5, Microsoft .NET Framework 3.5.1, Microsoft .NET Framework 4.5.2, Microsoft .NET Framework 4.6, Microsoft .NET Framework 4.6.1, Microsoft .NET Framework 4.6.2, Microsoft .NET Framework 4.7 y .NET Core 2.0. |
| Impacto | Importante |
| Gravedad | Denegación de servicio |
| ¿Divulgación pública? | No |
| ¿Vulnerabilidades conocidas? | No |
| Evaluación de vulnerabilidad, más reciente: | En el momento en que se redactaba el borrador de este contenido, la evaluación XI todavía estaba por asignar. |
| Evaluación de vulnerabilidad, heredada: | En el momento en que se redactaba el borrador de este contenido, la evaluación XI todavía estaba por asignar. |
| Más detalles | https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2018-0764 |
| CVE-2018-0797 | Vulnerabilidad de daño de la memoria de Microsoft Word |
| Resumen ejecutivo | Existe una vulnerabilidad de ejecución de código remoto de Office RTF en el software de Microsoft Office cuando dicho software falla al administrar los archivos RTF. Un atacante que aprovechara la vulnerabilidad con éxito podría ejecutar un código arbitrario en el contexto del usuario actual. Si el usuario actual inició sesión con privilegios administrativos, un atacante podría tomar el control del sistema afectado. Así, un atacante podría instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas con todos los derechos de usuario.La actualización de seguridad contrarresta la vulnerabilidad cambiando la forma en que el software de Microsoft Office gestiona el contenido RTF. |
| Vectores de ataque | La explotación de la vulnerabilidad requiere que un usuario abra un archivo especialmente diseñado con una versión afectada del software de Microsoft Office. En un escenario de ataque por correo electrónico, un atacante podría aprovechar la vulnerabilidad enviando al usuario el archivo especialmente diseñado y convenciéndolo para que lo abriera. En un escenario de ataque web, un atacante podría hospedar un sitio web (o sacar provecho de un sitio web en peligro que acepta u hospeda contenido proporcionado por el usuario) que contiene un archivo especialmente diseñado para aprovechar la vulnerabilidad. |
| Factores mitigadores | Un atacante no puede forzar de ninguna forma al usuario a abrir un archivo malintencionado o a visitar un sitio web malintencionado. En su lugar, tendría que engañar al usuario para que realizara acciones no seguras, como por ejemplo, hacer clic en un vínculo malintencionado de un correo electrónico o mensaje instantáneo y abrir el archivo especialmente diseñado.Los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que los usuarios que dispongan de privilegios administrativos. |
| Soluciones alternativas | Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad. |
| Software afectado | Microsoft Office 2010, Office 2016 para Mac, Paquete de compatibilidad de Office, Office Online Server 2016, Office Web Apps 2010, Office Web Apps Server 2013, Office Word Viewer, SharePoint Enterprise Server 2013, SharePoint Enterprise Server 2016, SharePoint Server 2010, Word 2007, Word 2010, Word 2013, Word 2013 RT y Word 2016. |
| Impacto | Ejecución del código remoto |
| Gravedad | Crítica |
| ¿Divulgación pública? | No |
| ¿Vulnerabilidades conocidas? | No |
| Evaluación de vulnerabilidad, más reciente: | En el momento en que se redactaba el borrador de este contenido, la evaluación XI todavía estaba por asignar. |
| Evaluación de vulnerabilidad, heredada: | En el momento en que se redactaba el borrador de este contenido, la evaluación XI todavía estaba por asignar. |
| Más detalles | https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2018-0797 |
Respecto a la coherencia de la información
Procuramos proporcionarle información precisa a través de contenido estático (este correo) y dinámico (basado en web). El contenido de seguridad de Microsoft publicado en la Web se actualiza con frecuencia para incluir la información más reciente. Si esto provoca incoherencias entre la información de aquí y la información del contenido de seguridad basado en web de Microsoft, la información autorizada es esta última.
Si tiene alguna pregunta respecto a esta alerta, póngase en contacto con su administrador técnico de cuentas (TAM) o director de prestación de servicios (SDM).
Saludos!
Microsoft CSS Security Team