Compartir a través de

Boletín de seguridad

Boletín de seguridad de Microsoft MS00-049: crítico

Revisiones disponibles para vulnerabilidades de "Script HTML de Office" y "Script de IE"

Publicado: 13 de julio de 2000 | Actualizado: 18 de mayo de 2003

Versión: 1.3

Publicado originalmente: 13 de julio de 2000
Actualizado: 18 de mayo de 2003

Resumen

El 13 de julio de 2000, Microsoft publicó la versión original de este boletín. Proporcionó una revisión para eliminar una vulnerabilidad de seguridad en Microsoft® Office 2000 y PowerPoint 97, y una solución alternativa para protegerse frente a una vulnerabilidad en Internet Explorer. El 9 de agosto de 2000, el boletín se volvió a publicar para anunciar la disponibilidad de una revisión para la vulnerabilidad en Internet Explorer.

El efecto de ambas vulnerabilidades es el mismo: podrían permitir que un operador de sitio web malintencionado provoque que el código de su elección se ejecute en el equipo de un usuario visitante.

Software afectado: La vulnerabilidad del script HTML de Office afecta a los siguientes productos de Office cuando se usan junto con Internet Explorer 4.x o 5.x:

  • Microsoft Excel 2000
  • Microsoft Powerpoint 2000
  • Microsoft PowerPoint 97

La vulnerabilidad de script de IE afecta a Internet Explorer 4.01 SP2 y versiones posteriores, cuando Microsoft Access 97 o Access 2000 está presente en el equipo de usuario.

Identificadores de vulnerabilidad

Información general

Detalles técnicos

Descripción técnica:

Recientemente se han detectado dos vulnerabilidades, una que afecta a Microsoft Office 2000 y PowerPoint 97, y la otra que afecta a Internet Explorer 4.01 Service Pack 2 y versiones posteriores. Aunque implican diferentes productos, el efecto, el riesgo y el escenario de vulnerabilidad de seguridad son exactamente los mismos. Como resultado, hemos elegido discutirlos en el mismo boletín. Las vulnerabilidades son:

  • Vulnerabilidad "Office Script". Esta vulnerabilidad podría permitir que el script hospedado en el sitio web de un usuario malintencionado guarde un archivo de Excel 2000, Powerpoint 2000 o Powerpoint 97 en el equipo de un usuario visitante. Dependiendo de dónde y cómo se guardó el archivo en el equipo del usuario, se podría hacer que se inicie automáticamente. Si esto se hiciera, se podría ejecutar la macro o el código VBA.
  • La vulnerabilidad del "script de IE". Esta vulnerabilidad podría permitir que el script hospedado en el sitio web de un usuario malintencionado haga referencia a un archivo de Microsoft Access en el sitio. A su vez, el archivo de Access, cuando se abre, podría hacer que se ejecute código de macro o VBA.

Preguntas más frecuentes

¿De qué trata este boletín?
El Boletín de seguridad de Microsoft MS00-049 anuncia la disponibilidad de una revisión que elimina una vulnerabilidad en Microsoft® Office 2000 (Excel y PowerPoint) y PowerPoint 97. Microsoft se compromete a proteger la información de los clientes y proporciona el boletín para informar a los clientes de la vulnerabilidad y lo que pueden hacer sobre ella.

¿Cuál es el ámbito de la vulnerabilidad de script HTML de Office?
La vulnerabilidad script de Office permite guardar cualquier archivo en el disco duro local de un usuario cuando el usuario está viendo una página web que contiene código de script que hace referencia a un archivo de Excel 2000 o PowerPoint. Al seleccionar con criterio el formato y la ubicación en la que se guardó el archivo, un operador de sitio web malintencionado podría hacer que el archivo se abra automáticamente en algún momento posterior. Si esto sucede, se ejecutaría cualquier código del archivo.

¿Qué causa la vulnerabilidad del script HTML de Office?
Si una página web malintencionada contiene un script que hace referencia a un objeto de Excel o PowerPoint hospedado de forma remota, ese objeto puede invocar una función dentro de VBA (SaveAs) para guardar un archivo en el disco duro local de un usuario visitante. Este problema solo afecta a los archivos de Powerpoint 97, Powerpoint 2000 y Excel 2000. Los usuarios que ejecutan cualquier otro producto de Office no se verían afectados por él.

¿A qué código de script nos referimos en estas vulnerabilidades?
Un archivo HTML puede contener código de script que se ejecuta cuando se hace referencia al archivo html desde Internet Explorer o a través de un vínculo en el correo electrónico. Por ejemplo, supongamos que estaba visitando esta dirección URL: www.fooexamplesite.com/start.html. Puede aparecer un ejemplo de código de script dentro de "start.html" como se muestra a continuación.

<html>
.....
<script>
function foo()
{
description of function;
}
</script>
</html>

¿Cuál es la diferencia entre VBA y código de script en el ejemplo anterior?
Microsoft Visual Basic para Aplicaciones (VBA) es el entorno de desarrollo y el lenguaje de macros que se incluye como parte de Microsoft Office. Un ejemplo de código de script específico que se usa en sitios web es Microsoft Visual Basic Scripting Edition (VBScript). VBScript es un subconjunto del lenguaje Microsoft Visual Basic. VBScript se implementa en Internet Explorer y otras aplicaciones que usan Controles ActiveX y applets de Java.

¿Podría aprovecharse esta vulnerabilidad por correo electrónico?
Sí. El script en cuestión aquí podría incluirse en un correo HTML. Cuando se abre, el script podría hacer referencia a un archivo de Excel o Powerpoint en el sitio del remitente.

¿La actualización de seguridad del correo electrónico de Outlook me protegería de la versión de correo electrónico de esta vulnerabilidad?
Sí. La actualización de seguridad de correo electrónico de Outlook hace que todos los correos HTML se abran en la zona restringida y deshabiliten los controles Active Scripting y ActiveX de esa zona.

¿Quién debe usar el parche de script HTML de Office?
Microsoft recomienda que todos los usuarios de las versiones afectadas de Microsoft Office instalen la revisión para esta vulnerabilidad.

¿Qué hace el parche de script HTML de Office?
La revisión de Office elimina la vulnerabilidad marcando archivos de Excel 2000 y PowerPoint como no seguros para el scripting.

¿Dónde puedo obtener el parche de script HTML para Office?
La ubicación de descarga de la revisión se proporciona en la sección "Disponibilidad de revisiones" del boletín de seguridad . Una ubicación de descarga alternativa está en el sitio de Microsoft Office: Actualizaciones de productos

¿Cómo se usa el parche de script HTML de Office?
Artículos de Microsoft Knowledge Base (KB): Q268365 (Excel 2000),Q268457 (PowerPoint 2000) y Q268477 (PowerPoint 97) contienen instrucciones detalladas para aplicar la revisión.

¿Cómo puedo saber si he instalado correctamente el parche?
Artículos de Microsoft Knowledge Base (KB): Q268365 (Excel 2000),Q268457 (PowerPoint 2000) y Q268477 (PowerPoint 97) proporciona un manifiesto de los archivos del paquete de revisión de Office. La manera más fácil de comprobar que ha instalado correctamente la revisión es comprobar que estos archivos están presentes en el equipo y que tienen los mismos tamaños y fechas de creación, como se muestra en el artículo de KB.

Vulnerabilidad de "Script IE"

¿De qué trata este boletín?
El Boletín de seguridad de Microsoft MS00-049 anuncia la disponibilidad de una revisión que elimina una vulnerabilidad en Internet Explorer 4.01 SP2 y versiones posteriores. Microsoft se compromete a proteger la información de los clientes y proporciona el boletín para informar a los clientes de la vulnerabilidad y lo que pueden hacer sobre ella.

¿Cuál es el ámbito de la vulnerabilidad de script de IE?
Esta vulnerabilidad permitiría a un usuario malintencionado hospedar un archivo de Access en su sitio web y hacer que se abra en el equipo de cualquier usuario que visitó el sitio. Una vez que esto suceda, cualquier código del archivo de Access, como el código de macro o el código VBA, sería libre de ejecutarse en el equipo del visitante.

¿Qué causa la vulnerabilidad del script de IE?
Internet Explorer permite la ejecución de una base de datos de Microsoft Access hospedada de forma remota o local a la que se hace referencia desde una página web que contiene código de script. De forma predeterminada, los archivos de Microsoft Access se tratan como no seguros para el scripting; sin embargo, se puede usar una determinada etiqueta de script para hacer referencia a un archivo de Access (.mdb) y ejecutar código de macro de VBA incluso si el scripting se ha deshabilitado en Internet Explorer.

¿Cuál es la "etiqueta de script determinada" que provoca la vulnerabilidad de IE?
Hay una <etiqueta de script OBJECT> que provoca la ejecución de archivos de Microsoft Access si se hace referencia desde una página web con scripts. De forma predeterminada, los archivos de Microsoft Access están marcados como no seguros para el scripting, pero esto permite su ejecución independientemente de la configuración del explorador del usuario.

La versión original de este boletín proporcionó una solución alternativa que implicaba establecer una contraseña de administrador en Access. Ahora que hay un parche, ¿puedo eliminar la contraseña del administrador?
Sí. Es posible que quiera conservar la contraseña de administrador para otros fines, pero no es necesaria como medida de protección contra esta vulnerabilidad una vez instalado el parche.

Si he instalado la revisión para la vulnerabilidad de script HTML de Office, ¿todavía necesito aplicar la revisión para la vulnerabilidad "Script de IE"?
Las dos vulnerabilidades son completamente independientes y debe realizar las acciones adecuadas en cada una de ellas. Si usa una versión de IE que sea 4.01 SP2 o posterior, se recomienda aplicar esta nueva revisión. Si también tiene instalados los productos de Office afectados, se recomienda aplicar ambas revisiones.

¿Quién debería usar el parche del script de IE?
Microsoft recomienda a todos los usuarios de las versiones afectadas de Internet Explorer instalar esta revisión.

¿Qué hace el parche de script de IE?
La revisión quita la vulnerabilidad de etiqueta <OBJECT> de IE cuando hace referencia a un archivo de Microsoft Access.

¿Dónde puedo obtener el parche de script de IE?
La ubicación de descarga de la revisión se proporciona en la sección "Disponibilidad de revisiones" del boletín de seguridad .

Nota: La revisión de la vulnerabilidad de script de IE también elimina una serie de otras vulnerabilidades de seguridad. Consulte el Boletín de seguridad de Microsoft MS00-055 para obtener más información.

¿Cómo utilizo el parche de script de Internet Explorer?
El artículo de Microsoft Knowledge Base (KB) Q269368 (disponible pronto) contiene instrucciones detalladas para aplicar la revisión.

¿Cómo puedo saber si he instalado correctamente el parche?
El artículo de Microsoft Knowledge Base (KB) Q269368 (disponible pronto) proporciona un manifiesto de los archivos del paquete de revisión de IE. La manera más fácil de comprobar que ha instalado correctamente la revisión es comprobar que estos archivos están presentes en el equipo y que tienen los mismos tamaños y fechas de creación, como se muestra en el artículo de KB.

¿Qué hace Microsoft sobre estos problemas?

  • Microsoft ha desarrollado un procedimiento que elimina la vulnerabilidad.

  • Microsoft ha proporcionado un boletín de seguridad y estas preguntas más frecuentes para proporcionar a los clientes un conocimiento detallado de la vulnerabilidad y el procedimiento para eliminarla.

  • Microsoft ha enviado copias del boletín de seguridad a todos los suscriptores al Servicio de notificaciones de seguridad del producto de Microsoft, un servicio de correo electrónico gratuito que los clientes pueden usar para mantenerse al día con los boletines de seguridad de Microsoft.

  • Artículos de Microsoft Knowledge Base (KB)

    Q268365 (Excel 2000),Q268457 (PowerPoint 2000) y Q268477 (PowerPoint 97) describe con más detalle la vulnerabilidad "Script HTML de Office".

  • El artículo de Knowledge Base (KB) Q269368, que explica en más detalle la vulnerabilidad "Script de IE", estará disponible pronto.

¿Dónde puedo obtener más información sobre los procedimientos recomendados para la seguridad?
El sitio web de Microsoft TechNet Security es el mejor lugar para obtener información sobre la seguridad de Microsoft.

¿Cómo obtengo soporte técnico sobre este problema?
Los Servicios de soportetécnico de Productos de Microsoft pueden proporcionar ayuda con este o cualquier otro problema de soporte técnico del producto.

Disponibilidad de revisiones

Ubicaciones de descarga de esta revisión Vulnerabilidad de script HTML de Office:

Vulnerabilidad del script de IE:

  • </https:>https:

    Nota: La revisión de la vulnerabilidad de script de IE también elimina una serie de otras vulnerabilidades de seguridad. Consulte el Boletín de seguridad de Microsoft MS00-055 para obtener más información.

Información adicional sobre esta revisión

Plataformas de instalación: Consulte las referencias siguientes para obtener más información relacionada con este problema.

Otra información:

Apoyo: Se trata de una revisión totalmente compatible. La información sobre cómo ponerse en contacto con los Servicios de soporte técnico de Productos de Microsoft está disponible en </https:>https:.

Recursos de seguridad: El sitio web de seguridad de Microsoft TechNet proporciona información adicional sobre la seguridad en los productos de Microsoft.

Aviso legal:

La información proporcionada en Microsoft Knowledge Base se proporciona "tal cual" sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, ya sea expresas o implícitas, incluidas las garantías de comerciabilidad y idoneidad para un propósito determinado. En ningún caso, Microsoft Corporation o sus proveedores serán responsables de cualquier daño, incluyendo daños directos, indirectos, incidentales, consecuentes, pérdida de beneficios empresariales o daños especiales, incluso si Microsoft Corporation o sus proveedores han sido informados de la posibilidad de tales daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, por lo que es posible que no se aplique la limitación anterior.

Revisiones:

  • V1.0 (13 de julio de 2000): Boletín creado.
  • V1.1 (09 de agosto de 2000): boletín actualizado para informar de la disponibilidad de una revisión para la vulnerabilidad "Script de IE".
  • V1.2 (28 de febrero de 2003): vínculo actualizado a la actualización de seguridad de Outlook en las preguntas más frecuentes
  • V1.3 (18 de mayo de 2003): vínculos actualizados a Ubicaciones de descarga e Información adicional.

Compilado en 2014-04-18T13:49:36Z-07:00</https:>