Parches Microsoft para Octubre

Aluvión, ; MIcrosoft ha anunciado que el próximo martes publicará trece boletines de seguridad, ocho Críticos y cinco Importantes. Con semejante número la lista de productos afectados es larga; todas las versiones de Windows, todas las de Internet Explorer, Office, Outlook, Visio...

Parches Microsoft fuera de ciclo

Microsoft ha informado de que mañana martes publicará dos boletines de seguridad fuera de ciclo que afectan a Internet Explorer y Visual Studio. Obviamente ambos son Críticos.

Aviso de seguridad de Microsoft

Microsoft ha publicado un aviso de seguridad por una vulnerabilidad en la librería msvidctl.dll de Windows XP y Server 2003 que permitiría a un atacante remoto ejecutar código arbitrario con los permisos bajo los que, a su vez, se ejecute el navegador.

Al parecer existe un exploit público que ya ha sido incorporado a páginas legítimas.

Por cierto que la noticia ya fue ancticipada ayer por Unaaldía.

Más sobre Windows 7

Desde Microsoft, comparación de las ediciones de Windows 7.

Desde Genbeta, los precios en dólares y el apunte de que en Europa no se podría
actualizar a Windows 7 por el problema de la integración de Internet Explorer 8.

Desde Technet, un bonito vídeo que muestra como funciona el modo XP en Windows 7, esto es
el XP virtual que lleva incorporado.

Y como recordatorio de la base de datos de compatibilidad de hardware para
Windows 7, Vista y XP (accesible sólo desde Internet Explorer).

WOT, una capa de seguridad adicional en el navegador

A través de esta noticia del ISC he descubierto WOT (Web Of Trust) un Add-On disponible para Firefox e Internet Explorer que cataloga resultados de búsquedas, sitiso por los que se navega, intentos de descargas y gestiones de compras, estableciendo si son confiables o no. Lo curioso es que se basa en un sistema de recomendaciones de sus usuarios, por lo que hay que registrarse.

Ya estaba probando algún software parecido, pero este tiene mejor pinta y, dado que tiene el aval del ISC, tendré que probarlo.

¿Windows 7 sin Internet Explorer?

Eso es lo que se comenta, que para evitarse problemas legales con la Unión Europea, Microsoft estaría valorando distribuir Windows 7 sin Internet Explorer, entiendo que exclusivamente a través del canal OEM. Al parecer tratan de repetir la jugada de las ediciones N de Windows.

la noticia en Público, The Inquirer y Barrapunto.

Parches Microsoft de Junio

Tal como anunció, Microsoft ha publicado diez boletines de seguridad que corrigen un total de 31 vulnerabilidades:

MS09-018, corrige dos vulnerabilidades críticas en el Directorio Activo de Windows 2000 Server y Windows Server 2003, afectando también a Windows XP, que permitirían la ejecución remota de código.

MS09-019, es una nueva actualización acumulativa para todas las versiones soportadas de Internet Explorer. Corrige hasta siete vulnerabilidades que, en los casos más graves, podrían permitir la ejecución remota de código. Es, por supuesto, Crítica.

MS09-020, resuelve el problema de elevación de privilegios en Internet Information Services, que ya reseñé. Su nivel es Importante.

MS09-021, corrige siete vulnerabilidades asociadas a todas las versiones soportadas de Excel (inlcuído Mac) que podrían permitir la ejecución remota de código al abrir un archivo especialmente malformado. Está catalogado como Crítico.

MS09-022, resuelve tres problemas en Windows Print Spooler que en Windows 2000 Server podría permitir la ejecución remota de código. En el resto de versiones de Windows el riesgo es de elevación de privilegios. Es también Crítico.

MS09-023, corrige un problema en Windows Search que podría permitir la revelación de información sensible. Su nivel es Moderado.

MS09-024, resuelve un problema en los conversores de Microsoft Works que afecta al propio Works y a todas las versiones soportadas de Office salvo las de Mac y 2007 con SP2, que podrían permitir la ejecución remota de código arbitrario. Está catalogado como Crítico.

MS09-025, actualización del kernel de Windows para evitar un riesgo de elevación de privilegios por parte de un atacante local. Su nivel es Moderado.

MS09-026, similar al anterior aunque en este caso afectando al servicio RPC. Es también Moderado.

MS09-027, actualización para todas las versiones soportadas de Word (incluído Mac) para corregir dos vulnerabilidades que podrían permitir la ejecuciñon remota de código.

Configuración segura de los navegadores

INTECO ha publicado este manual sobre securización de navegadores, con instrucciones para Internet Explorer, Firefox, Safari, Opera y Chrome que también incorpora cuadros de resumen.

Probablemente se eche en falta algo más acerca de FF, ya que sobre extensiones apenas citan NoScript, pero es el típico material a recomendar.

Previsión de parches Microsoft para junio

Microsoft ha anunciado que este mes de junio publicará 10 parches para sus productos, seis Críticos, tres Importantes y uno Moderado. Siendo tantos afectan a diversos productos, Windows, Internet Explorer, Word, Excel y Office.

¡Por cotilla!

Lo cuentan en el blog del laboratorio de ESET, un sitio web malicioso afirmaba poder proporcionar acceso a las conversaciones de los contactos de MSN con terceras personas. Y para ello, claro, solicitaban el usuario y contraseña del curioso.

Tanto Firefox como Internet Explorer ya tienen catalogado el sitio como malicioso.

Parches Microsoft de Abril

En esta ocasión son ocho los boletines de seguridad publicados por Microsoft:

MS09-009, solventa dos vulnerabilidades en Excel que podrían permitir la ejecución remota de código. Está catalogado como Crítico.

MS09-010, corrige hasta cuatro problemas en los conversores de texto de WordPad y Office que podrían permitir la ejecución remota de código. También es Crítico.

MS09-011, actualización para DirectXa fin de evitar la ejecución remota de código al abrir un archivo mjpeg especialmente construido. Su nivel es Crítico.

MS09-012, afecta a todas las versiones soportadas de Windows y corrige cuatro vulnerabilidades que podrían permitir a un atacante local elevar sus privilegios. Está catalogado como Importante.

MS09-013, actualización para los servicios HTTP de Windows para evitar una posible ejecución remota de código. Su nivel es Crítico.

MS09-014, otra actualización acumulativa para Internet Explorer que solventa varias vulnerabilidades que podrían permitir la ejecución remota de código. También es Crítico.

MS09-015, clasificado como Moderado afecta a la función SearchPaths de Windows y podría permitir la elevación de privilegios.

MS09-016, afecta a ISA Server y Forefront y corrige dos vulnerabilidades que podrían permitir el acceso a información sensible o causar una denegación de servicio.

Internet Explorer 8, esta tarde

Microsoft ha anunciado que estar a las 18:00 (hora española) estará disponible la versión definitiva de Internet Explorer 8.

¿Se caerán sus servidores por de la demanda de descargas?

Lo único que se es que si lo hacen Microsoft lo atribuirá a la demanda y sus detractores asegurarán que los dimensionaron deliberadamente a la baja. Y si no, los unos alardearán de su capacidad e infraestructura y los otros dirán que no ha interesado a nadie.

En cualquier caso lo más divertido es que en la página aparezca una imagen de la Wikipedia, con Isaac Newton, nada menos.

Actualización de Firefox

Ya se ha publicado la primera actualización de Firefox 3, y junto con ella tal y como reseñan en Unaaldía, las correspondientes al resto de la familia, Firefox 2, Thunderbird y SeaMonkey.

Por cierto que también en Unaaldía y en su mensaje de hoy, comentan que Firefox 3 es capaz de aprovechar las zonas de seguridad de Internet Explorer. Curioso y ...potencialmente útil.

Safari-Windows ¿nueva polémica?

Anteayer VSAntivirus informaba de un aviso de Microsoft (que por cierto no he recibido) en que alertaba de que el navegador Safari permitía descargar archivos al escritorio de Windows sin el conocimiento del usuario.

Sin embargo ayer mismo completaban la información advirtiendo de que un investigador también Internet Explorer podría estar involucrado en el problema.

No, IE6 no se acaba

Hay quien ha creído que Microsoft iba a "retirar" Internet Explorer 6, forzando la actualización a la versión 7, cosa especialmente preocupante para quienes utilizan Windows 2000.

Pero no hay tal, se trata tan sólo de que WSUS, la tecnología de Microsoft para la distribución de actualizaciones entornos corporativos, incluirá por defecto Internet Explorer 7 a partir de la actualización programada para el próximo martes. Por supuesto esta actuación es modificable por los administradores.

Los detalles en este enlace.

¿El fin de Internet Explorer 6?

Aunque no hay confirmación oficial, los rumores de que Microsoft va a dejar de dar soporte a Internet Explorer 6 son cada día más insistentes. Claro que yo me pregunto como solventarán el problema de de Windows 2000, tanto Server como Professional, sobre los que no corre IE7.

Esta es la reseña de VSAntivirus.

Zero-Day vía Internet Explorer y QuickTime

VSAntivirus reseña la publicación de una prueba de concepto que mostraría la forma de ejecutar código a través de QuickTime e Internet Explorer.

El problema es el mismo que sufrió recientemente Firefox y que ya está resuelto.

Spoofing en Internet Explorer 7

VSAntivirus informa del descubrimiento de una vulnerabilidad en Internet Explorer 7 que podría permitir la falsificación de direcciones.

Obviamente se trata de un problema diferente al del mes pasado.

Otra batallita Explorer-Firefox

Una función de Firefox que permite puede permitir la ejecución de código desde una URL remota está en el centro de la última polémica entre Microsoft y Mozilla. Al parecer en esta situación las medidas de seguridad de Firefox emiten el aviso correspondiente, pero una web maliciosa podría forzar a Explorer a utilizar esta función para ejecutar código arbitrario.

Anoto la reseña de Virus Bulletin, que es quizá la más detallada.

Spoofing en Internet Explorer 7

VSAntivirus informa de una vulnerabilidad en el proceso de autenticación HTTP en Internet Explorer 7 que podría permitir falsear la URL mostrada por el navegador. Existe una prueba de concepto.