MS02-069: Un error en la Máquina virtual (VM) de Microsoft puede suponer un riesgo para Windows

Seleccione idioma Seleccione idioma
Id. de artículo: 810030
Expandir todo | Contraer todo

En esta página

Síntomas

La máquina virtual de Microsoft (Microsoft VM) es un máquina virtual para el entorno Win32. Se incluye en la mayor parte de las versiones de Windows y de Microsoft Internet Explorer.

Hay disponible una nueva versión de Microsoft VM que incluye todas las revisiones publicadas anteriormente y nuevas revisiones para ocho problemas de seguridad detectados recientemente. Los vectores de ataque para todos los problemas nuevos son probablemente los mismos. Un atacante puede crear un sitio Web que, cuando se abre, explota una vulnerabilidad determinada; el vector de ataque puede estar alojado en el sitio Web o ser enviado al usuario como mensaje de correo HTML.

Los problemas de seguridad detectados recientemente son:
  • Una vulnerabilidad de seguridad a través de la cual un subprograma Java en el que no se confía puede tener acceso a objetos del Modelo de objetos componentes (COM)

    Por diseño, los objetos COM exponen su funcionalidad y, por tanto, sólo deben estar disponibles para los programas Java de confianza. Algunos objetos COM proporcionan funcionalidad que permite a un atacante tomar el control del sistema.
  • Un par de vulnerabilidades que pueden disfrazar la ubicación real a la que hace referencia un atributo codebase de un subprograma

    Aunque las causas subyacentes de cada vulnerabilidad son diferentes, ambas pueden producir el mismo efecto. Por diseño, un subprograma Java que reside en el espacio de almacenamiento del usuario o en un recurso compartido de red tiene acceso de lectura a la carpeta en la que reside y a todas sus carpetas secundarias. Estas vulnerabilidades proporcionan métodos por los cuales un subprograma ubicado en un sitio Web puede falsificar su ubicación en su atributo codebase. Es decir, el subprograma parece residir en el sistema local del usuario o en un recurso compartido de red, no en su ubicación real.
  • Una vulnerabilidad que permite a un atacante construir una dirección URL que, cuando se analiza, carga un subprograma Java desde un sitio Web pero lo falsifica como perteneciente a otro sitio Web

    Esta vulnerabilidad permite que el subprograma del atacante se ejecute en el dominio del otro sitio. Cualquier información que el usuario proporcione a este subprograma puede retransmitirse al atacante.
  • Una vulnerabilidad que permite a un subprograma modificar el contenido de bases de datos

    Esta vulnerabilidad se debe a que Microsoft VM no impide que los subprogramas llamen a las API de JDBC, que son un conjunto de API que proporciona métodos de acceso a bases de datos. Por diseño, estas API proporcionan funcionalidad para agregar, cambiar, eliminar y modificar el contenido de bases de datos, y sólo están sujetas a los permisos del usuario.
  • Una vulnerabilidad por la cual un atacante puede evitar temporalmente que se carguen y ejecuten objetos Java especificados

    El Administrador de seguridad estándar, que es un mecanismo de seguridad de versiones anteriores, permite a un usuario imponer restricciones a los subprogramas Java, lo que incluye impedir su ejecución. Sin embargo, como Microsoft VM no controla adecuadamente el acceso al Administrador de seguridad estándar, el subprograma de un atacante puede agregar otros objetos Java a la lista "restringida".
  • Una vulnerabilidad por la cual un atacante puede averiguar el nombre de usuario en el equipo local del usuario

    Esta vulnerabilidad se produce porque la propiedad de sistema user.dir está disponible para subprogramas que no son de confianza. Aunque el hecho de saber el nombre de usuario no supone un riesgo en sí mismo, esta información podría resultar útil a un atacante para fines de reconocimiento.
  • Una vulnerabilidad debida a que un subprograma Java puede crear una instancia incompleta de otro objeto Java

    Esto provoca un error en el programa que lo contiene (Internet Explorer).

Solución

Para resolver este problema, instale el paquete "810030: Actualización de seguridad para Microsoft VM". Este paquete actualiza Microsoft VM a la versión 5.00.3809. Todas las versiones de Microsoft VM anteriores a la 5.00.3809 se ven afectadas por las vulnerabilidades enumeradas en la sección "Síntomas" de este artículo.

Buscar la actualización

Para buscar la actualización, visite la sección "Actualizaciones críticas" del siguiente sitio Web de Microsoft Windows Update:
http://update.microsoft.com
Los administradores pueden descargar esta actualización desde el Catálogo de Windows Update para implementarla en varios equipos que ya tengan instalada la máquina virtual de Microsoft. Si necesita obtener esta actualización para instalarla posteriormente en uno o más equipos, busque el número de identificación de este artículo mediante Opciones de búsqueda avanzadas del Catálogo de Windows Update. Para obtener información adicional acerca de cómo descargar actualizaciones desde el Catálogo de Windows Update, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
323166 CÓMO: Descargar actualizaciones y controladores de Windows desde el Catálogo de Windows Update
Nota: la versión para Windows 2000 de esta actualización de Microsoft VM requiere el Service Pack 2 o posterior de Windows 2000 y no se puede instalar en ningún otro sistema operativo. Para descargar esta actualización para Windows 2000, seleccione SP2 de Windows 2000 2 o SP3 de Windows 2000 como sistema operativo.

Para descargar esta actualización para Windows XP, Windows NT 4.0, Windows Millennium Edition (Me), Windows 98 Segunda edición o Windows 98, seleccione Windows XP, Windows Millennium Edition o Windows 98 como sistema operativo.

Nota: los equipos basados en Windows NT 4.0 no tienen acceso al Catálogo de Windows Update. Si ha descargado un paquete de Windows NT 4.0 para instalar en varios equipos, o para realizar la instalación después, tenga acceso al Catálogo de Windows Update desde un equipo que ejecute Windows 98, Windows Millennium Edition, Windows 2000, Windows XP o Windows Server 2003, y seleccione después Windows 98, Windows Millennium Edition o Windows XP como sistema operativo. Esta actualización de seguridad también está diseñada para su instalación en equipos con Windows NT 4.0. Los administradores que no tengan acceso a un equipo basado en Windows XP, Windows 98, Windows Millennium Edition, Windows 2000 o Windows Server 2003 para utilizar el Catálogo de Windows Update pueden ponerse en contacto con los Servicios de soporte técnico de Microsoft para obtener la revisión. Para obtener una lista completa de los números de teléfono de los Servicios de soporte técnico de Microsoft, así como información acerca de los costos de soporte técnico, visite el siguiente sitio Web de Microsoft:
http://support.microsoft.com/default.as px?scid=fh;EN-US;CNTACTMS

Información de instalación

Sólo puede instalar esta actualización en aquellos equipos que tengan instalada una versión anterior de la máquina virtual de Microsoft. Para obtener información adicional acerca de cómo instalar la máquina virtual de Microsoft en modo silencioso sin reiniciar el equipo, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
304930 Cómo realizar una instalación silenciosa de la máquina virtual de Microsoft sin reiniciar el equipo

Información de archivos

La versión en inglés de esta revisión tiene los atributos de archivo enumerados en la siguiente tabla u otros posteriores. Las fechas y las horas de estos archivos se muestran según el Horario universal coordinado (UTC). Cuando vea la información de archivo, se convertirá a la hora local. Para ver la diferencia entre la hora UTC y la hora local, utilice la ficha Zona horaria de la herramienta Fecha y hora del Panel de control.

Contraer esta tablaAmpliar esta tabla
FechaHoraVersiónTamañoNombre de archivo
20-mar-200211:522.678Classes.cer
18-nov-200214:075.751.849Classes.zip
18-nov-200214:115.0.3809.0404.752Javart.dll
18-nov-200214:095.0.3809.0172.304Jview.exe
18-nov-200214:115.0.3809.0947.984 Msjava.dll
20-mar-200211:522.678Msjdbc.cer
18-nov-200214:07137.482Msjdbc.zip
29-may-200100:5810.957Osp.zip


Nota: una vez instalada la máquina virtual actualizada, todos los archivos .zip tendrán nombres diferentes. Este comportamiento es normal y puede pasarse por alto. Asimismo, tenga en cuenta que sólo algunos de los archivos del paquete Zip se han cambiado para esta versión. No obstante, esos archivos no pueden empaquetarse de forma individual.

Estado

Microsoft ha confirmado que este problema puede producir cierta vulnerabilidad de la seguridad en la máquina virtual (VM) de Microsoft.

Más información

Para determinar el número de compilación de la máquina virtual de Microsoft en un equipo con Windows 98, Windows 98 Segunda edición (SE) o Windows Millennium Edition, siga estos pasos:
  1. Haga clic en Inicio y, a continuación, en Ejecutar.
  2. En el cuadro Abrir, escriba command y haga clic en Aceptar.
  3. En el símbolo del sistema, escriba jview y presione ENTRAR. Observe que la información de versión aparece en la primera línea como "Versiónn.nn.nnnn", donde los últimos cuatro dígitos nnnn son el número de compilación. Por ejemplo, 5.00.3802 es la compilación 3802 de la máquina virtual de Microsoft.
Para determinar el número de compilación de la máquina virtual de Microsoft en un equipo con Windows NT 4.0, Windows 2000 o Windows XP, siga estos pasos:
  1. Haga clic en Inicio y, a continuación, en Ejecutar.
  2. En el cuadro Abrir, escriba cmd y haga clic en Aceptar.
  3. En el símbolo del sistema, escriba el comando siguiente y presione ENTRAR:
    jview
    Observe que la información de versión aparece en la primera línea como "Versión n.nn.nnnn", donde los últimos cuatro dígitos nnnn son el número de compilación. Por ejemplo, 5.00.3802 es la compilación 3802 de la máquina virtual de Microsoft.
Para obtener más información acerca de esta vulnerabilidad, visite el siguiente sitio Web de Microsoft:
http://www.microsoft.com/technet/security/bulletin/MS02-069.asp

Propiedades

Id. de artículo: 810030 - Última revisión: jueves, 03 de febrero de 2011 - Versión: 6.6
Palabras clave: 
kbbug kbfix kbsecbulletin kbsecurity kbsecvulnerability kbqfe KB810030

Enviar comentarios

 

Contact us for more help

Contact us for more help
Connect with Answer Desk for expert help.
Get more support from smallbusiness.support.microsoft.com