Boletín de seguridad de Microsoft MS14-025: importante

Vulnerabilidad en las preferencias de directiva de grupo podría permitir la elevación de privilegios (2962486)

Publicado: 13 de mayo de 2014

Versión: 1.0

Información general

Resumen ejecutivo

Esta actualización de seguridad resuelve una vulnerabilidad divulgada públicamente en Microsoft Windows. La vulnerabilidad podría permitir la elevación de privilegios si las preferencias de directiva de grupo de Active Directory se usan para distribuir contraseñas en el dominio, una práctica que podría permitir que un atacante recupere y descifre la contraseña almacenada con preferencias de directiva de grupo.

Esta actualización de seguridad se clasifica como Importante para las herramientas de Administración istration del servidor remoto cuando se instala en las ediciones afectadas de Windows Vista, Windows 7, Windows 8 y Windows 8.1. La actualización también es importante para todas las ediciones afectadas de Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 y Windows Server 2012 R2. Para obtener más información, consulte la sección Software afectado y no afectado.

La actualización de seguridad aborda la vulnerabilidad quitando la capacidad de configurar y distribuir contraseñas que usan determinadas extensiones de preferencias de directiva de grupo. Para obtener más información sobre la vulnerabilidad, consulte la subsección Preguntas más frecuentes (P+F) para ver la vulnerabilidad específica más adelante en este boletín.

Se requiere acción adicional. Para protegerse completamente de la vulnerabilidad abordada en este boletín, los clientes con directivas de grupo existentes que usan preferencias de directiva de grupo deberán tomar medidas adicionales para quitar esas directivas. Consulte las preguntas más frecuentes sobre vulnerabilidades en este boletín para obtener más información.

Recomendación. Microsoft recomienda que los clientes apliquen la actualización lo antes posible y realicen las acciones adicionales que se detallan anteriormente y en las preguntas más frecuentes relacionadas.

La actualización solo está disponible en el Centro de descarga de Microsoft y en el Catálogo de Microsoft Update.

Consulte también la sección Herramientas de detección e implementación e instrucciones, más adelante en este boletín.

Artículo de Knowledge Base

Artículo de Knowledge Base: 2962486
Información del archivo: Sí
Hashes SHA1/SHA2: Sí
Problemas conocidos: Ninguno

Software afectado y no afectado

Se ha probado el siguiente software para determinar qué versiones o ediciones se ven afectadas. Otras versiones o ediciones han pasado su ciclo de vida de soporte técnico o no se ven afectadas. Para determinar el ciclo de vida de soporte técnico de la versión o edición de software, consulte ciclo de vida de Soporte técnico de Microsoft.

Software afectado

Sistema operativo	Componente	Impacto máximo en la seguridad	Clasificación de gravedad agregada	Novedades reemplazado
Windows Vista
Windows Vista Service Pack 2^[1]	Herramientas de Administración istration de servidor remoto (2928120)	Elevación de privilegios	Importante	None
Windows Vista x64 Edition Service Pack 2^[1]	Herramientas de Administración istration de servidor remoto (2928120)	Elevación de privilegios	Importante	None
Windows Server 2008
Windows Server 2008 para sistemas de 32 bits Service Pack 2[2^](2928120)	No aplicable	Elevación de privilegios	Importante	None
Windows Server 2008 para sistemas basados en x64 Service Pack 2[2^](2928120)	No aplicable	Elevación de privilegios	Importante	None
Windows Server 2008 para sistemas basados en Itanium Service Pack 2[2^](2928120)	No aplicable	Elevación de privilegios	Importante	None
Windows 7
Windows 7 para sistemas de 32 bits Service Pack 1^[1]	Herramientas de Administración istration de servidor remoto (2928120)	Elevación de privilegios	Importante	None
Windows 7 para sistemas basados en x64 Service Pack 1^[1]	Herramientas de Administración istration de servidor remoto (2928120)	Elevación de privilegios	Importante	None
Windows Server 2008 R2
Windows Server 2008 R2 para sistemas basados en x64 Service Pack 1^[2](2928120)	No aplicable	Elevación de privilegios	Importante	None
Windows Server 2008 R2 para sistemas basados en Itanium Service Pack 1^[2](2928120)	No aplicable	Elevación de privilegios	Importante	None
Windows 8 y Windows 8.1
Windows 8 para sistemas^{de 32 bits[1]}	Herramientas de Administración istration de servidor remoto (2928120)	Elevación de privilegios	Importante	None
Windows 8 para sistemas^{basados en x64[1]}	Herramientas de Administración istration de servidor remoto (2928120)	Elevación de privilegios	Importante	None
Windows 8.1 para sistemas^{de 32 bits[1]}	Herramientas de Administración istration^{del servidor remoto[3]}(2928120)	Elevación de privilegios	Importante	None
Windows 8.1 para sistemas^{de 32 bits[1]}	Herramientas de Administración istration^{de servidor remoto[4]} (2961899)	Elevación de privilegios	Importante	None
Windows 8.1 para sistemas^{basados en x64[1]}	Herramientas de Administración istration^{del servidor remoto[3]}(2928120)	Elevación de privilegios	Importante	None
Windows 8.1 para sistemas^{basados en x64[1]}	Herramientas de Administración istration^{de servidor remoto[4]} (2961899)	Elevación de privilegios	Importante	None
Windows Server 2012 y Windows Server 2012 R2
Windows Server 2012^[2](2928120)	No aplicable	Elevación de privilegios	Importante	None
Windows Server 2012 R2^[2][3](2928120)	No aplicable	Elevación de privilegios	Importante	None
Windows Server 2012 R2^[2][4] (2961899)	No aplicable	Elevación de privilegios	Importante	None

^[1]Los sistemas cliente solo se ven afectados si se ha instalado Remote Server Administración istration Tools.
^[2]Los sistemas de servidor solo se ven afectados si la administración de directivas de grupo está configurada en el servidor.
^[3]Esta actualización es para los sistemas que tienen instalada la actualización 2919355. Consulte las preguntas más frecuentes sobre la actualización para obtener más información.
^[4]Esta actualización es para los sistemas que no tienen instalada la actualización 2919355. Consulte las preguntas más frecuentes sobre la actualización para obtener más información.

Software no afectado

Sistema operativo
Windows Server 2003 Service Pack 2
Windows Server 2003 x64 Edition Service Pack 2
Windows Server 2003 con SP2 para sistemas basados en Itanium
Windows RT
Windows RT 8.1
Opción de instalación Server Core
Windows Server 2008 para sistemas de 32 bits Service Pack 2 (instalación Server Core)
Windows Server 2008 para sistemas basados en x64 Service Pack 2 (instalación Server Core)
Windows Server 2008 R2 para sistemas basados en x64 Service Pack 1 (instalación Server Core)
Windows Server 2012 (instalación de Server Core)
Windows Server 2012 R2 (instalación de Server Core)

Preguntas más frecuentes sobre la actualización

¿Qué cambios de comportamiento hace esta actualización a las preferencias de directiva de grupo?
Para obtener más información sobre cómo cambia el comportamiento de las preferencias de directiva de grupo, consulte el artículo de Microsoft Knowledge Base 2962486.

¿Por qué las actualizaciones solo están disponibles en el Centro de descarga de Microsoft y en el Catálogo de Microsoft Update?
Microsoft publica estas actualizaciones en el Centro de descarga de Microsoft y en el Catálogo de Microsoft Update para que los clientes puedan empezar a actualizar sus sistemas lo antes posible.

¿Esta actualización contiene algún cambio relacionado con la seguridad en la funcionalidad?
Sí. La actualización modifica la ventana Editor de administración de directivas de grupo de la Consola de administración de directivas de grupo (GPMC) quitando la capacidad de configurar y distribuir contraseñas mediante las siguientes extensiones de preferencias de directiva de grupo:

Usuario local y grupo
Unidades asignadas
Servicios
Tareas programadas (nivel superior)
Tareas programadas (nivel inferior)
Tareas inmediatas (nivel superior)
Tareas inmediatas (nivel inferior)
Orígenes de datos

Hay varias actualizaciones enumeradas para Windows 8.1 y Windows Server 2012 R2. ¿Es necesario instalar ambas actualizaciones?
No. En función de cómo se configure el sistema para recibir actualizaciones, solo se aplicará una de las actualizaciones de una edición determinada de Windows 8.1 o Windows Server 2012 R2.

Para sistemas que ejecutan Windows 8.1 o Windows Server 2012 R2:

La actualización 2928120 es para los sistemas que ya tienen instalada la actualización 2919355.
La actualización 2961899 es para sistemas sin la actualización 2919355 instalada.

Estoy ejecutando Windows 8.1 o Windows Server 2012 R2. ¿Existe un requisito previo para instalar la actualización de 2928120?
Sí. Los clientes que ejecutan sistemas Windows 8.1 o Windows Server 2012 R2 deben instalar primero la actualización de 2919355 publicada en abril de 2014 antes de instalar la actualización de 2928120. Para obtener más información sobre la actualización de requisitos previos, consulte el artículo de Microsoft Knowledge Base 2919355.

¿Cómo se ven afectadas las instalaciones de Server Core por las vulnerabilidades que se tratan en este boletín?
Las vulnerabilidades abordadas por esta actualización no afectan a las ediciones admitidas de Windows Server 2008, Windows Server 2008 R2, Windows Server 2012 o Windows Server 2012 R2, tal como se indica en la tabla Software no afectado, cuando se instala mediante la opción de instalación Server Core. Para obtener más información sobre esta opción de instalación, consulte los artículos de TechNet, Administración de una instalación de Server Core: Información general, Mantenimiento de una instalación de Server Core y Server Core e Integración completa del servidor.

Estoy usando una versión anterior del software que se describe en este boletín de seguridad. ¿Cuál debo hacer?
El software afectado enumerado en este boletín se ha probado para determinar qué versiones se ven afectadas. Otras versiones han pasado su ciclo de vida de soporte técnico. Para obtener más información sobre el ciclo de vida del producto, consulte el sitio web del ciclo de vida de Soporte técnico de Microsoft.

Debe ser una prioridad para los clientes que tienen versiones anteriores del software para migrar a versiones admitidas para evitar la posible exposición a vulnerabilidades. Para determinar el ciclo de vida de soporte técnico de la versión de software, consulte Seleccionar un producto para la información del ciclo de vida. Para obtener más información sobre los Service Pack para estas versiones de software, consulte Directiva de soporte técnico del ciclo de vida de Service Pack.

Los clientes que requieran soporte técnico personalizado para software anterior deben ponerse en contacto con su representante del equipo de cuentas de Microsoft, su Administrador de cuentas técnicas o el representante de asociado de Microsoft adecuado para las opciones de soporte técnico personalizadas. Los clientes sin un contrato premier o autorizado pueden ponerse en contacto con su oficina de ventas local de Microsoft. Para obtener información de contacto, vea el sitio web información mundial de Microsoft, seleccione el país en la lista Información de contacto y, a continuación, haga clic en Ir para ver una lista de números de teléfono. Cuando llame, pida que hable con el administrador de ventas local de Soporte técnico Premier. Para obtener más información, consulte las preguntas más frecuentes sobre la directiva de ciclo de vida de Soporte técnico de Microsoft.

Clasificaciones de gravedad e identificadores de vulnerabilidad

Las siguientes clasificaciones de gravedad asumen el posible impacto máximo de la vulnerabilidad. Para obtener información sobre la probabilidad, en un plazo de 30 días a partir de la publicación de este boletín de seguridad, de la vulnerabilidad en relación con su clasificación de gravedad e impacto en la seguridad, consulte el Índice de vulnerabilidades en el resumen del boletín de mayo. Para obtener más información, consulte Índice de vulnerabilidades de seguridad de Microsoft.

Clasificación de gravedad de vulnerabilidad y impacto máximo en la seguridad por parte del software afectado
Software afectado	Preferencias de directiva de grupo Vulnerabilidad de elevación de privilegios de contraseña : CVE-2014-1812	Clasificación de gravedad agregada
Windows Vista
Herramientas de Administración istration del servidor remoto cuando se instala en Windows Vista Service Pack 2 (2928120)	Elevación importante de privilegios	Importante
Herramientas de Administración istration del servidor remoto cuando se instala en Windows Vista x64 Edition Service Pack 2 (2928120)	Elevación importante de privilegios	Importante
Windows Server 2008
Windows Server 2008 para sistemas de 32 bits Service Pack 2 (2928120)	Elevación importante de privilegios	Importante
Windows Server 2008 para sistemas basados en x64 Service Pack 2 (2928120)	Elevación importante de privilegios	Importante
Windows Server 2008 para sistemas basados en Itanium Service Pack 2 (2928120)	Elevación importante de privilegios	Importante
Windows 7
Herramientas de Administración istration del servidor remoto cuando se instala en Windows 7 para sistemas de 32 bits Service Pack 1 (2928120)	Elevación importante de privilegios	Importante
Herramientas de Administración istration del servidor remoto cuando se instala en Windows 7 para sistemas basados en x64 Service Pack 1 (2928120)	Elevación importante de privilegios	Importante
Windows Server 2008 R2
Windows Server 2008 R2 para sistemas basados en x64 Service Pack 1 (2928120)	Elevación importante de privilegios	Importante
Windows Server 2008 R2 para sistemas basados en Itanium Service Pack 1 (2928120)	Elevación importante de privilegios	Importante
Windows 8 y Windows 8.1
Herramientas de Administración istration del servidor remoto cuando se instala en Windows 8 para sistemas de 32 bits (2928120)	Elevación importante de privilegios	Importante
Herramientas de Administración istration del servidor remoto cuando se instala en Windows 8 para sistemas basados en x64 (2928120)	Elevación importante de privilegios	Importante
Herramientas de Administración istration del servidor remoto cuando se instala en Windows 8.1 para sistemas de 32 bits (2928120)	Elevación importante de privilegios	Importante
Herramientas de Administración istration del servidor remoto cuando se instala en Windows 8.1 para sistemas de 32 bits (2961899)	Elevación importante de privilegios	Importante
Herramientas de Administración istration del servidor remoto cuando se instala en Windows 8.1 para sistemas basados en x64 (2928120)	Elevación importante de privilegios	Importante
Herramientas de Administración istration del servidor remoto cuando se instala en Windows 8.1 para sistemas basados en x64 (2961899)	Elevación importante de privilegios	Importante
Windows Server 2012 y Windows Server 2012 R2
Windows Server 2012 (2928120)	Elevación importante de privilegios	Importante
Windows Server 2012 R2 (2928120)	Elevación importante de privilegios	Importante
Windows Server 2012 R2 (2961899)	Elevación importante de privilegios	Importante

Preferencias de directiva de grupo Vulnerabilidad de elevación de privilegios de contraseña : CVE-2014-1812

Existe una vulnerabilidad de elevación de privilegios en la forma en que Active Directory distribuye las contraseñas configuradas mediante preferencias de directiva de grupo. Un atacante autenticado que aprovechara correctamente la vulnerabilidad podría descifrar las contraseñas y usarlas para elevar privilegios en el dominio.

Para ver esta vulnerabilidad como entrada estándar en la lista Vulnerabilidades comunes y exposiciones, consulte CVE-2014-1812.

Factores de mitigación

Microsoft no ha identificado ningún factor de mitigación para esta vulnerabilidad.

Soluciones alternativas

La solución alternativa hace referencia a un cambio de configuración o configuración que no corrige la vulnerabilidad subyacente, pero podría ayudar a bloquear los vectores de ataque conocidos antes de aplicar la actualización. Microsoft ha probado las siguientes soluciones alternativas y estados en la discusión si una solución alternativa reduce la funcionalidad:

Para obtener información alternativa, consulte el artículo de Microsoft Knowledge Base 2962486.

Preguntas más frecuentes

¿Cuál es el ámbito de la vulnerabilidad?
Se trata de una vulnerabilidad de elevación de privilegios.

¿Qué causa la vulnerabilidad?
La vulnerabilidad se debe a la forma en que Active Directory distribuye las contraseñas configuradas mediante preferencias de directiva de grupo.

¿Qué son las preferencias de directiva de grupo?
Las preferencias de directiva de grupo incluyen más de 20 nuevas extensiones de directiva de grupo que expanden el intervalo de opciones configurables dentro de un objeto de directiva de grupo (GPO). Estas nuevas extensiones se incluyen en la ventana Editor de administración de directivas de grupo de la Consola de administración de directivas de grupo (GPMC), en el nuevo elemento Preferencias. Algunos ejemplos de las nuevas extensiones de preferencias de directiva de grupo incluyen opciones de carpeta, unidades asignadas, impresoras, tareas programadas, servicios y menú Inicio configuración. Para obtener más información sobre las preferencias de directiva de grupo, vea Guía de introducción a las preferencias de directiva de grupo.

¿Qué podría hacer un atacante para usar la vulnerabilidad?
Un atacante autenticado que aprovechara correctamente esta vulnerabilidad podría adquirir nuevas credenciales de administrador de dominio o local y usarlas para elevar privilegios en el dominio. Un atacante podría entonces instalar programas; ver, cambiar o eliminar datos; o cree cuentas con derechos administrativos completos.

¿Cómo podría un atacante aprovechar la vulnerabilidad?
Para aprovechar la vulnerabilidad, un atacante primero tendría que obtener acceso a una cuenta de usuario autenticada en el dominio. Si un GPO está configurado mediante preferencias de directiva de grupo para establecer una contraseña administrativa local o definir credenciales para asignar una unidad de red, programar una tarea o configurar el contexto en ejecución de un servicio, un atacante podría recuperar y descifrar la contraseña almacenada con preferencias de directiva de grupo.

¿Qué sistemas están principalmente en riesgo de la vulnerabilidad?
Los servidores que actúan como controladores de dominio corren el mayor riesgo de aprovechar esta vulnerabilidad.

¿Qué hace la actualización?
La actualización quita la capacidad de configurar y distribuir contraseñas mediante las siguientes extensiones de preferencias de directiva de grupo.

Configuración de unidades de asignación
Configuración de grupos y usuarios locales
Configuración de tareas programadas
Configuración de servicios
Configurar orígenes de datos

Acción adicional requerida: es importante tener en cuenta que la actualización no quita los GPO existentes que se configuraron antes de la aplicación de esta actualización de seguridad. Los clientes con GPO existentes que se configuraron mediante las preferencias de directiva de grupo identificadas deben quitar este riesgo de su entorno de dominio. Consulte el artículo de Knowledge Base 2962486 para obtener más información.

Cuando se emitió este boletín de seguridad, ¿se había divulgado públicamente esta vulnerabilidad?
Sí. Esta vulnerabilidad se ha divulgado públicamente. Se le ha asignado el número de vulnerabilidad común y exposición CVE-2014-1812.

Cuando se emitió este boletín de seguridad, ¿Microsoft recibió informes de que esta vulnerabilidad se estaba explotando?
Sí. Microsoft es consciente de los ataques dirigidos que intentan aprovechar esta vulnerabilidad.

Herramientas e instrucciones de detección e implementación

Administre las actualizaciones de software y seguridad que necesita implementar en los servidores, el escritorio y los sistemas móviles de su organización. Para obtener más información, consulte el Centro de administración de actualizaciones de TechNet. El sitio web de Microsoft TechNet Security proporciona información adicional sobre la seguridad en los productos de Microsoft.

Las actualizaciones de seguridad están disponibles en el Centro de descarga de Microsoft. Puede encontrarlos con más facilidad si realiza una búsqueda de palabra clave para "actualización de seguridad".

Por último, las actualizaciones de seguridad se pueden descargar desde el catálogo de Microsoft Update. El catálogo de Microsoft Update proporciona un catálogo de contenido que se puede buscar disponible a través de Windows Update y Microsoft Update, incluidas las actualizaciones de seguridad, los controladores y service packs. Al buscar con el número de boletín de seguridad (por ejemplo, "MS14-001"), puede agregar todas las actualizaciones aplicables a la cesta (incluidos los distintos idiomas de una actualización) y descargar en la carpeta de su elección. Para obtener más información sobre el catálogo de Microsoft Update, consulte preguntas más frecuentes sobre el catálogo de Microsoft Update.