Boletín de seguridad de Microsoft MS15-090: importante
Las vulnerabilidades de Microsoft Windows podrían permitir la elevación de privilegios (3060716)
Publicado: 11 de agosto de 2015
Versión: 1.0
Resumen ejecutivo
Esta actualización de seguridad resuelve vulnerabilidades en Microsoft Windows. Las vulnerabilidades podrían permitir la elevación de privilegios si un atacante inicia sesión en un sistema afectado y ejecuta una aplicación especialmente diseñada o convence a un usuario de abrir un archivo especialmente diseñado que invoque una aplicación de espacio aislado vulnerable, lo que permite a un atacante escapar del espacio aislado.
Esta actualización de seguridad es importante para todas las versiones admitidas de Microsoft Windows, excepto Windows 10, que no se ve afectada. Para obtener más información, consulte la sección Software afectado.
La actualización de seguridad aborda las vulnerabilidades mediante la corrección del modo en que El Administrador de objetos de Windows controla los vínculos simbólicos de objetos creados por un proceso de espacio aislado, evitando la interacción incorrecta con el registro por aplicaciones de espacio aislado y evitando la interacción incorrecta con el sistema de archivos por las aplicaciones de espacio aislado. Para obtener más información sobre las vulnerabilidades, consulte la sección Información de vulnerabilidades.
Para obtener más información sobre esta actualización, consulte el artículo de Microsoft Knowledge Base 3060716.
Software afectado
Las siguientes versiones o ediciones de software se ven afectadas. Las versiones o ediciones que no aparecen en la lista son anteriores a su ciclo de vida de soporte técnico o no se ven afectadas. Para determinar el ciclo de vida de soporte técnico de la versión o edición de software, consulte ciclo de vida de Soporte técnico de Microsoft.
| Sistema operativo | Impacto máximo en la seguridad | Clasificación de gravedad agregada | Novedades reemplazado |
|---|---|---|---|
| Windows Vista | |||
| Windows Vista Service Pack 2 (3060716) | Elevación de privilegios | Importante | 3045999 en MS15-038 |
| Windows Vista x64 Edition Service Pack 2 (3060716) | Elevación de privilegios | Importante | 3045999 en MS15-038 |
| Windows Server 2008 | |||
| Windows Server 2008 para sistemas de 32 bits Service Pack 2 (3060716) | Elevación de privilegios | Importante | 3045999 en MS15-038 |
| Windows Server 2008 para sistemas basados en x64 Service Pack 2 (3060716) | Elevación de privilegios | Importante | 3045999 en MS15-038 |
| Windows Server 2008 para sistemas basados en Itanium Service Pack 2 (3060716) | Elevación de privilegios | Importante | 3045999 en MS15-038 |
| Windows 7 | |||
| Windows 7 para sistemas de 32 bits Service Pack 1 (3060716) | Elevación de privilegios | Importante | 3067505 en MS15-076 |
| Windows 7 para sistemas basados en x64 Service Pack 1 (3060716) | Elevación de privilegios | Importante | 3067505 en MS15-076 |
| Windows Server 2008 R2 | |||
| Windows Server 2008 R2 para sistemas basados en x64 Service Pack 1 (3060716) | Elevación de privilegios | Importante | 3067505 en MS15-076 |
| Windows Server 2008 R2 para sistemas basados en Itanium Service Pack 1 (3060716) | Elevación de privilegios | Importante | 3067505 en MS15-076 |
| Windows 8 y Windows 8.1 | |||
| Windows 8 para sistemas de 32 bits (3060716) | Elevación de privilegios | Importante | 3050514 en MS15-052 |
| Windows 8 para sistemas basados en x64 (3060716) | Elevación de privilegios | Importante | 3050514 en MS15-052 |
| Windows 8.1 para sistemas de 32 bits (3060716) | Elevación de privilegios | Importante | 3035131 en MS15-025 |
| Windows 8.1 para sistemas basados en x64 (3060716) | Elevación de privilegios | Importante | 3035131 en MS15-025 |
| Windows Server 2012 y Windows Server 2012 R2 | |||
| Windows Server 2012 (3060716) | Elevación de privilegios | Importante | 3050514 en MS15-052 |
| Windows Server 2012 R2 (3060716) | Elevación de privilegios | Importante | 3035131 en MS15-025 |
| Windows RT y Windows RT 8.1 | |||
| Windows RT[1](3060716) | Elevación de privilegios | Importante | 3050514 en MS15-052 |
| Windows RT 8.1[1](3060716) | Elevación de privilegios | Importante | 3035131 en MS15-025 |
| Opción de instalación Server Core | |||
| Windows Server 2008 para sistemas de 32 bits Service Pack 2 (instalación Server Core) (3060716) | Elevación de privilegios | Importante | 3045999 en MS15-038 |
| Windows Server 2008 para sistemas basados en x64 Service Pack 2 (instalación server Core) (3060716) | Elevación de privilegios | Importante | 3045999 en MS15-038 |
| Windows Server 2008 R2 para sistemas basados en x64 Service Pack 1 (instalación server Core) (3060716) | Elevación de privilegios | Importante | 3067505 en MS15-076 |
| Windows Server 2012 (instalación server Core) (3060716) | Elevación de privilegios | Importante | 3050514 en MS15-052 |
| Windows Server 2012 R2 (instalación server Core) (3060716) | Elevación de privilegios | Importante | 3035131 en MS15-025 |
[1]Esta actualización solo está disponible a través de Windows Update .
*La columna Novedades Reemplazada muestra solo la actualización más reciente en una cadena de actualizaciones reemplazadas. Para obtener una lista completa de las actualizaciones reemplazadas, vaya al catálogo de Microsoft Update, busque el número de KB de actualización y, a continuación, vea los detalles de actualización (la información reemplazada de actualizaciones se encuentra en la pestaña Detalles del paquete).
Clasificaciones de gravedad e identificadores de vulnerabilidad
Las siguientes clasificaciones de gravedad asumen el posible impacto máximo de la vulnerabilidad. Para obtener información sobre la probabilidad, en un plazo de 30 días a partir de la publicación de este boletín de seguridad, de la vulnerabilidad en relación con su clasificación de gravedad y su impacto en la seguridad, consulte el Índice de vulnerabilidades en el resumen del boletín de agosto.
| Clasificación de gravedad de vulnerabilidad y impacto máximo en la seguridad por parte del software afectado | ||||
|---|---|---|---|---|
| Software afectado | Vulnerabilidad de elevación de privilegios del Administrador de objetos de Windows: CVE-2015-2428 | Vulnerabilidad de elevación de privilegios del Registro de Windows: CVE-2015-2429 | Vulnerabilidad de elevación de privilegios del sistema de archivos de Windows: CVE-2015-2430 | Clasificación de gravedad agregada |
| Windows Vista | ||||
| Windows Vista Service Pack 2 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows Vista x64 Edition Service Pack 2 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows Server 2008 | ||||
| Windows Server 2008 para sistemas de 32 bits Service Pack 2 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows Server 2008 para sistemas basados en x64 Service Pack 2 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows Server 2008 para sistemas basados en Itanium Service Pack 2 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows 7 | ||||
| Windows 7 para sistemas de 32 bits Service Pack 1 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows 7 para sistemas basados en x64 Service Pack 1 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows Server 2008 R2 | ||||
| Windows Server 2008 R2 para sistemas basados en x64 Service Pack 1 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows Server 2008 R2 para sistemas basados en Itanium Service Pack 1 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows 8 y Windows 8.1 | ||||
| Windows 8 para sistemas de 32 bits (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows 8 para sistemas basados en x64 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows 8.1 para sistemas de 32 bits (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows 8.1 para sistemas basados en x64 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows Server 2012 y Windows Server 2012 R2 | ||||
| Windows Server 2012 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows Server 2012 R2 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows RT y Windows RT 8.1 | ||||
| Windows RT (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows RT 8.1 (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Opción de instalación Server Core | ||||
| Windows Server 2008 para sistemas de 32 bits Service Pack 2 (instalación server Core) (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows Server 2008 para sistemas basados en x64 Service Pack 2 (instalación Server Core) (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows Server 2008 R2 para sistemas basados en x64 Service Pack 1 (instalación Server Core) (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows Server 2012 (instalación server Core) (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
| Windows Server 2012 R2 (instalación server Core) (3060716) | Elevación importante de privilegios | Elevación importante de privilegios | Elevación importante de privilegios | Importante |
Información de vulnerabilidad
Vulnerabilidad de elevación de privilegios del Administrador de objetos de Windows: CVE-2015-2428
Existe una vulnerabilidad de elevación de privilegios en el Administrador de objetos de Windows cuando no se puede validar correctamente y aplicar niveles de suplantación. Un atacante que aprovechara correctamente esta vulnerabilidad podría omitir la seguridad de nivel de suplantación y obtener privilegios elevados en un sistema de destino.
Para aprovechar esta vulnerabilidad, un atacante tendría que iniciar sesión en un sistema afectado y ejecutar una aplicación especialmente diseñada. La vulnerabilidad por sí misma no permite la ejecución arbitraria del código; sin embargo, un atacante podría usar esta vulnerabilidad junto con otra vulnerabilidad para afectar a la ejecución arbitraria de código. La actualización aborda la vulnerabilidad mediante la corrección de cómo el Administrador de objetos de Windows controla los vínculos simbólicos de objetos creados por un proceso de espacio aislado.
Microsoft recibió información sobre esta vulnerabilidad a través de la divulgación coordinada de vulnerabilidades. Cuando se emitió originalmente este boletín de seguridad, Microsoft no había recibido ninguna información para indicar que esta vulnerabilidad se había usado públicamente para atacar a los clientes.
Factores de mitigación
Microsoft no ha identificado ningún factor de mitigación para esta vulnerabilidad.
Soluciones alternativas
Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.
Vulnerabilidad de elevación de privilegios del Registro de Windows: CVE-2015-2429
Existe una elevación de privilegios en Microsoft Windows cuando permite incorrectamente ciertas interacciones del Registro desde aplicaciones de espacio aislado vulnerables. Un atacante que aprovechara correctamente esta vulnerabilidad podría interactuar incorrectamente con el registro e intentar escapar del espacio aislado de la aplicación.
Para aprovechar la vulnerabilidad, un atacante tendría que convencer al usuario de abrir un archivo especialmente diseñado que invocaría una aplicación de espacio aislado vulnerable, lo que daría lugar a un riesgo del espacio aislado. Después, el atacante podría ejecutar programas con los privilegios del usuario que inició sesión. La actualización aborda la vulnerabilidad evitando la interacción incorrecta con el registro mediante aplicaciones de espacio aislado.
Microsoft recibió información sobre esta vulnerabilidad a través de la divulgación coordinada de vulnerabilidades. Cuando se emitió originalmente este boletín de seguridad, Microsoft no había recibido ninguna información para indicar que esta vulnerabilidad se había usado públicamente para atacar a los clientes.
Factores de mitigación
Microsoft no ha identificado ningún factor de mitigación para esta vulnerabilidad.
Soluciones alternativas
Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.
Vulnerabilidad de elevación de privilegios del sistema de archivos de Windows: CVE-2015-2430
Existe una elevación de privilegios en Microsoft Windows cuando permite incorrectamente ciertas interacciones del sistema de archivos desde aplicaciones de espacio aislado vulnerables. Un atacante que aprovechara correctamente esta vulnerabilidad podría interactuar incorrectamente con el sistema de archivos e intentar escapar del espacio aislado de la aplicación.
Para aprovechar la vulnerabilidad, un atacante tendría que convencer al usuario de abrir un archivo especialmente diseñado que invocaría una aplicación de espacio aislado vulnerable, lo que permitiría a un atacante escapar del espacio aislado. La actualización aborda la vulnerabilidad evitando la interacción incorrecta con el sistema de archivos por aplicaciones de espacio aislado.
Microsoft recibió información sobre esta vulnerabilidad a través de la divulgación coordinada de vulnerabilidades. Cuando se emitió originalmente este boletín de seguridad, Microsoft no había recibido ninguna información para indicar que esta vulnerabilidad se había usado públicamente para atacar a los clientes.
Factores de mitigación
Microsoft no ha identificado ningún factor de mitigación para esta vulnerabilidad.
Soluciones alternativas
Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.
Implementación de actualizaciones de seguridad
Para obtener información sobre la implementación de actualizaciones de seguridad, consulte el artículo de Microsoft Knowledge Base al que se hace referencia en el resumen ejecutivo.
Agradecimientos
Microsoft reconoce los esfuerzos de los miembros de la comunidad de seguridad que nos ayudan a proteger a los clientes a través de la divulgación coordinada de vulnerabilidades. Consulte Confirmaciones para obtener más información.
Declinación de responsabilidades
La información proporcionada en Microsoft Knowledge Base se proporciona "tal cual" sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, ya sea expresas o implícitas, incluidas las garantías de comerciabilidad y idoneidad para un propósito determinado. En ningún caso, Microsoft Corporation o sus proveedores serán responsables de cualquier daño, incluyendo daños directos, indirectos, incidentales, consecuentes, pérdida de beneficios empresariales o daños especiales, incluso si Microsoft Corporation o sus proveedores han sido informados de la posibilidad de tales daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, por lo que es posible que no se aplique la limitación anterior.
Revisiones
- V1.0 (11 de agosto de 2015): Boletín publicado.
Página generada 2015-08-05 15:02Z-07:00.