Lanzamiento de actualización de seguridad de Microsoft de julio de 2017
Descripción de la actualización de seguridad
El martes, 11 de julio de 2017, Microsoft publicará nuevas actualizaciones de seguridad que afectan a los siguientes productos de Microsoft:
| Familia de productos | Gravedad máxima | Impacto máximo |
Artículos de KB relacionados o páginas web de soporte técnico |
| Windows 10 y Windows Server 2016 (incluido Microsoft Edge) | Crítica | Ejecución del código remoto |
Windows 10 RTM: 4025338; Windows 10 1511: 4025344; Windows 10 1607: 4025339; Windows 10 1703: 4025342; Windows Server 2016: 4025339. |
| Windows 8.1 y Windows Server 2012 R2 | Crítica | Ejecución del código remoto |
Windows 8.1 y Windows Server 2012 R2: 4025333 (solo seguridad) y 4025336 (paquete acumulativo mensual). |
| Windows Server 2012 | Crítica | Ejecución del código remoto |
Windows Server 2012: 4025343 (solo seguridad) y 4025331 (paquete acumulativo mensual). |
| Windows RT 8.1 | Crítica | Ejecución del código remoto |
Windows RT 8.1: 4025336. Nota: Las actualizaciones de Windows RT 8.1 solo están disponibles a través de Windows Update. |
| Windows 7 y Windows Server 2008 R2 | Crítica | Ejecución del código remoto |
Windows 7 y Windows Server 2008 R2: 4025337 (solo seguridad) y 4025341 (paquete acumulativo mensual). |
| Windows Server 2008 | Crítica | Ejecución del código remoto |
Las actualizaciones para Windows Server 2008 no se ofrecen de manera acumulativa ni en paquetes. Hay 14 artículos de KB asociados con Windows Server 2008, demasiados para detallar aquí en modo de descripción general. Los vínculos a estos artículos están en la Guía de actualizaciones de seguridad. |
| Internet Explorer | Crítica | Ejecución del código remoto |
Internet Explorer 9: 4025252; Internet Explorer 10: 4025252 (IE acumulativo) y 4025331 (paquete acumulativo mensual).; Internet Explorer 11: 4025341, 4025252, 4025339, 4025338, 4025342, 4025344 y 4025336. |
| Microsoft Office, Servicios de Office, Office Online y otro software relacionado con Office | Importante | Ejecución del código remoto |
Hay 19 artículos de KB sobre los componentes de Office en esta publicación, demasiados para detallarlos aquí. Los vínculos a estos artículos están en la Guía de actualizaciones de seguridad y en la sección Descargas y actualizaciones de la página de inicio de Office TechCenter. |
| Exchange Server | Importante | Elevación de privilegios |
Información de Microsoft sobre las actualizaciones de seguridad para Exchange Server: 4018588. |
| .NET Framework | Importante | Denegación de servicio |
Información de Microsoft sobre las actualizaciones de seguridad para .NET Framework: 4025338, 4025339, 4025342 y 4025344. |
| Adobe Flash Player | Crítica | Ejecución del código remoto |
Información de Microsoft sobre las actualizaciones de seguridad para Adobe Flash Player: 4025376. |
Descripción de las vulnerabilidades de seguridad
A continuación se proporciona un resumen en el que se muestra el número de vulnerabilidades tratadas en esta versión, desglosado por producto o componente y por impacto.
| Detalles de la vulnerabilidad (1) |
RCE |
EOP |
ID |
SFB |
DOS |
SPF |
Divulgación pública |
Vulnerabilidad conocida |
CVSS máx. |
| Windows 10 RTM |
4 |
11 |
5 |
2 |
1 |
0 |
1 |
0 |
8,8 |
| Windows 10 1511 |
4 |
11 |
5 |
2 |
1 |
0 |
1 |
0 |
8,8 |
| Windows 10 1607 y Server 2016 |
5 |
13 |
5 |
2 |
0 |
0 |
1 |
0 |
8,8 |
| Windows 10 1703 |
4 |
13 |
5 |
1 |
0 |
0 |
0 |
0 |
8,8 |
| Windows 8.1 y Server 2012 R2 |
4 |
11 |
5 |
2 |
1 |
0 |
1 |
0 |
8,8 |
| Windows Server 2012 |
4 |
11 |
5 |
2 |
1 |
0 |
1 |
0 |
8,8 |
| Windows 7 y Server 2008 R2 |
4 |
9 |
5 |
2 |
1 |
0 |
1 |
0 |
8,8 |
| Windows Server 2008 |
4 |
9 |
5 |
2 |
1 |
0 |
1 |
0 |
8,8 |
| Internet Explorer |
5 |
0 |
0 |
1 |
0 |
1 |
1 |
0 |
7,5 |
| Microsoft Edge |
14 |
0 |
0 |
2 |
0 |
2 |
2 |
0 |
6,5 |
| Office |
4 |
0 |
0 |
0 |
0 |
0 |
0 |
0 |
N/D (2) |
| SharePoint |
1 |
1 |
0 |
0 |
0 |
0 |
0 |
0 |
N/D (2) |
| Exchange Server |
0 |
2 |
0 |
0 |
0 |
1 |
0 |
0 |
N/D (2) |
| .NET Framework |
0 |
0 |
0 |
0 |
1 |
0 |
0 |
0 |
N/D (2) |
| RCE = Ejecución de código remoto | EOP = Elevación de privilegios | ID = Divulgación de informaciónSFB = Franqueo de características de seguridad | DOS = Denegación de servicio | SPF = Suplantación de identidad | |||||||||
(1) Es posible que vulnerabilidades que aparecen en varios componentes se representen más de una vez en la tabla.
(2) En el momento de la publicación, las puntuaciones CVE solo estaban disponibles para Windows, Internet Explorer y Microsoft Edge.
Guía de actualizaciones de seguridad
La Guía de actualizaciones de seguridad es nuestro recurso recomendado para obtener información sobre actualizaciones de seguridad. Puede personalizar sus vistas y crear hojas de cálculo del software afectado, así como descargar datos a través de una API de RESTful.
Portal de la Guía de actualizaciones de seguridad: https://aka.ms/securityupdateguide
Página web de preguntas más frecuentes (P+F) sobre la Guía de actualizaciones de seguridad: https://technet.microsoft.com/es-es/security/mt791750
Detalles de la vulnerabilidad
A continuación, encontrará los resúmenes de algunas de las vulnerabilidades de seguridad de esta versión. Estas vulnerabilidades se han seleccionado entre el conjunto global de vulnerabilidades existentes en la versión por alguno de los motivos siguientes: 1) Hemos recibido consultas relacionadas con la vulnerabilidad; 2) la vulnerabilidad se ha puesto de relieve en la prensa especializada; o 3) la vulnerabilidad puede resultar más perjudicial que otras de la misma versión. Dado que no proporcionamos resúmenes para todas las vulnerabilidades de la versión, debería consultar el contenido de la Guía de actualizaciones de seguridad
para buscar la información que no esté contenida en estos resúmenes.
| CVE-2017-8584 | Vulnerabilidad de ejecución de código remoto de HoloLens |
| Resumen ejecutivo | Existe una vulnerabilidad de ejecución de código remoto cuando HoloLens controla los objetos en la memoria. Un atacante que hubiera aprovechado esta vulnerabilidad con éxito podría tomar el control de un sistema afectado. Así, un atacante podría instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas con todos los derechos de usuario.La actualización resuelve la vulnerabilidad al corregir cómo HoloLens administra los objetos en la memoria. |
| Vectores de ataque | Para aprovechar esta vulnerabilidad, un atacante tendría que enviar un paquete Wi-Fi especialmente diseñado. |
| Factores mitigadores | Microsoft no ha identificado ningún factor mitigador para esta vulnerabilidad. |
| Soluciones alternativas | Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad. |
| Software afectado | Windows 10 v1607 y Windows Server 2016 |
| Impacto | Ejecución del código remoto |
| Gravedad | Crítica |
| ¿Divulgación pública? | Sí |
| ¿Vulnerabilidades conocidas? | No |
| Evaluación de vulnerabilidad, más reciente: | 2: vulnerabilidad menos probable |
| Evaluación de vulnerabilidad, heredada: | 2: vulnerabilidad menos probable |
| Más detalles | https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8584 |
| CVE-2017-8587 | Vulnerabilidad de denegación de servicio de Explorador de Windows |
| Resumen ejecutivo | Existe una vulnerabilidad de denegación de servicio que el Explorador de Windows intenta abrir un archivo no existente. Un atacante que hubiera aprovechado con éxito esta vulnerabilidad podría provocar una denegación de servicio.La actualización de seguridad aborda la vulnerabilidad al corregir la forma en que el Explorador de Windows procesa los intentos de apertura de archivos no existentes. |
| Vectores de ataque | Un atacante pudiera aprovechar esta vulnerabilidad al hospedar un sitio web especialmente diseñado y convencer a un usuario a que vaya a una página web que contenga referencia al archivo no existente, por lo que el sistema de la víctima dejaría de responder. |
| Factores mitigadores | Un atacante no puede forzar a un usuario a visualizar el contenido controlado por él. En su lugar, el atacante tendría que convencer al usuario para que lo hiciera él mismo. Por ejemplo, un atacante podría engañar a un usuario para que hiciera clic en un enlace que lo conduce a un sitio web del atacante. |
| Soluciones alternativas | Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad. |
| Software afectado | Windows 10 RTM, Windows 10 v1511, Windows 8.1, Windows RT 8.1, Windows 7, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 y Windows Server 2012 R2. |
| Impacto | Denegación de servicio |
| Gravedad | Importante |
| ¿Divulgación pública? | Sí |
| ¿Vulnerabilidades conocidas? | No |
| Evaluación de vulnerabilidad, más reciente: | 3: vulnerabilidad poco probable |
| Evaluación de vulnerabilidad, heredada: | 3: vulnerabilidad poco probable |
| Más detalles | https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8587 |
| CVE-2017-8589 | Vulnerabilidad de ejecución de código remoto de Windows Search |
| Resumen ejecutivo | Existe una vulnerabilidad de ejecución de código remoto cuando Windows Search controla los objetos en la memoria. Un atacante que hubiera aprovechado esta vulnerabilidad con éxito podría tomar el control de un sistema afectado. Así, un atacante podría instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas con todos los derechos de usuario.La actualización de seguridad resuelve la vulnerabilidad al corregir la manera en que Windows Search controla los objetos de la memoria. |
| Vectores de ataque | Para aprovechar la vulnerabilidad, el atacante podría enviar mensajes de especialmente diseñados para el servicio Windows Search. Un atacante con acceso a un equipo objetivo podría aprovechar esta vulnerabilidad para elevar el nivel de privilegios y tomar el control del mismo. Además, en un entorno empresarial, un atacante remoto no autenticado podría activar de forma remota la vulnerabilidad mediante una conexión SMB y, a continuación, tomar el control de un equipo objetivo. |
| Factores mitigadores | Microsoft no ha identificado ningún factor mitigador para esta vulnerabilidad. |
| Soluciones alternativas | Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad. |
| Software afectado | Todas las versiones compatibles de Windows |
| Impacto | Ejecución del código remoto |
| Gravedad | Crítica |
| ¿Divulgación pública? | No |
| ¿Vulnerabilidades conocidas? | No |
| Evaluación de vulnerabilidad, más reciente: | 1: vulnerabilidad más probable |
| Evaluación de vulnerabilidad, heredada: | 1: vulnerabilidad más probable |
| Más detalles | https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8589 |
| CVE-2017-8608 | Vulnerabilidad de daño de la memoria del motor de scripting |
| Resumen ejecutivo | Existe una vulnerabilidad de ejecución de código remoto en la forma en que se procesan los motores de JavaScript al controlar los objetos en la memoria de los exploradores de Microsoft. La vulnerabilidad podría dañar la memoria de tal manera que un atacante podría ejecutar código arbitrario en el contexto del usuario actual. Un atacante que aprovechara la vulnerabilidad con éxito podría obtener los mismos derechos de usuario que el usuario actual. Si el usuario actual inició sesión con privilegios administrativos, un atacante que hubiera aprovechado la vulnerabilidad con éxito podría tomar el control de un sistema afectado. Así, un atacante podría instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas con todos los derechos de usuario.La actualización de seguridad resuelve la vulnerabilidad al modificar la forma en que los motores de scripting de JavaScript de los exploradores de Microsoft controlan los objetos de la memoria. |
| Vectores de ataque | En un escenario de ataque web, un atacante podría hospedar una página web especialmente diseñada para aprovechar esta vulnerabilidad a través de un explorador de Microsoft y, a continuación, convencer a un usuario para que visite el sitio web. Un atacante también podría insertar un control de ActiveX marcado como "seguro para inicialización" en una aplicación o un documento de Microsoft Office que hospeda el motor de procesamiento de explorador. El atacante también podría aprovecharse de los sitios web en peligro y de los que aceptan u hospedan contenido proporcionado por el usuario o anuncios. Estos sitios web podrían albergar contenido especialmente diseñado para aprovechar esta vulnerabilidad. |
| Factores mitigadores | El atacante tendría que convencer a los usuarios para que realicen alguna acción, normalmente consiguiendo que hagan clic en un enlace que aparece en un correo electrónico o mensaje instantáneo y que los lleva al sitio web del atacante, o que abran un archivo adjunto enviado por correo electrónico. Un atacante no puede forzar al usuario a visualizar el contenido malintencionado.La explotación solo consigue los mismos permisos de usuario que los de la cuenta con la que se ha iniciado sesión. Configurar las cuentas de usuario con menos permisos reduciría el riesgo. |
| Soluciones alternativas | Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad. |
| Software afectado | Internet Explorer 9, Internet Explorer 10, Internet Explorer 11 y Microsoft Edge. |
| Impacto | Ejecución del código remoto |
| Gravedad | Crítica |
| ¿Divulgación pública? | No |
| ¿Vulnerabilidades conocidas? | No |
| Evaluación de vulnerabilidad, más reciente: | 2: vulnerabilidad menos probable |
| Evaluación de vulnerabilidad, heredada: | 2: vulnerabilidad menos probable |
| Más detalles | https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8608 |
| CVE-2017-8501 | Vulnerabilidad de daño de la memoria de Microsoft Office |
| Resumen ejecutivo | Existe una vulnerabilidad de ejecución de código remoto en el software de Microsoft Office cuando dicho software no logra controlar correctamente los objetos en la memoria. Un atacante que aprovechara la vulnerabilidad con éxito podría ejecutar un código arbitrario en el contexto del usuario actual. Si el usuario actual inició sesión con privilegios administrativos, un atacante podría tomar el control del sistema afectado. Así, un atacante podría instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas con todos los derechos de usuario. Los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que los usuarios que dispongan de privilegios administrativos.La actualización de seguridad resuelve la vulnerabilidad al corregir la manera en que Office controla los objetos en la memoria. |
| Vectores de ataque | La explotación de la vulnerabilidad requiere que un usuario abra un archivo especialmente diseñado con una versión afectada del software de Microsoft Office. En un escenario de ataque de correo electrónico, un atacante podría aprovechar la vulnerabilidad enviando al usuario el archivo especialmente diseñado y convenciéndolo para que lo abra.En un escenario de ataque web, un atacante podría hospedar un sitio web (o sacar provecho de un sitio web en peligro que acepta u hospeda contenido proporcionado por el usuario) que contiene un archivo especialmente diseñado para aprovechar la vulnerabilidad.Observe que el panel de vista previa no es un vector de ataque para esta vulnerabilidad. |
| Factores mitigadores | Un atacante no puede forzar de ninguna forma a los usuarios a abrir un documento malintencionado o a visitar un sitio web malintencionado. En cambio, un atacante tendría que convencer a los usuarios para que realizaran alguna acción insegura, como por ejemplo, abrir un documento inseguro o hacer clic en un vínculo inseguro en un correo electrónico o mensaje instantáneo. |
| Soluciones alternativas | Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad. |
| Software afectado | Microsoft Office 2007, Office 2010, Office 2013, Office 2013 RT, Office 2016, Office 2011 para Mac, Office 2016 para Mac, paquete de compatibilidad de Office, Excel Services en SharePoint Server 2010, SharePoint Enterprise Server 2013, Excel Viewer 2007 y Office Online Server 2016. |
| Impacto | Ejecución del código remoto |
| Gravedad | Importante |
| ¿Divulgación pública? | No |
| ¿Vulnerabilidades conocidas? | No |
| Evaluación de vulnerabilidad, más reciente: | 4: no se ve afectado |
| Evaluación de vulnerabilidad, heredada: | 2: vulnerabilidad menos probable |
| Más detalles | https://portal.msrc.microsoft.com/es-es/security-guidance/advisory/CVE-2017-8501 |
Respecto a la coherencia de la información
Procuramos proporcionarle información precisa a través de contenido estático (este correo) y dinámico (basado en web). El contenido de seguridad de Microsoft publicado en la Web se actualiza con frecuencia para incluir la información más reciente. Si esto provoca incoherencias entre la información de aquí y la información del contenido de seguridad basado en web de Microsoft, la información autorizada es esta última.
Saludos!
Microsoft CSS Security Team