MS05-026: Una vulnerabilidad en la Ayuda HTML podría permitir la ejecución remota de código

Se aplica a
Microsoft Windows Server 2003 Service Pack 1 Microsoft Windows XP Professional x64 Edition

Resumen

Microsoft ha publicado el boletín de seguridad MS05-026. El boletín de seguridad contiene toda la información relevante sobre la actualización de seguridad. Esto incluye información sobre archivos y opciones de implementación. Para ver el boletín de seguridad completo, visite los siguientes sitios web de Microsoft:

Problemas conocidos

  • Después de instalar la actualización de seguridad 896358, es posible que determinados tipos de aplicaciones basadas en Web no funcionen correctamente. Por ejemplo, es posible que una tabla de contenido de la Ayuda HTML ya no funcione. Además, es posible que ciertas funciones de la Ayuda de HTML, como la característica Temas relacionados, no funcionen cuando el archivo .chm se abre desde una ubicación remota.
     Para obtener más información acerca de este problema, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
    892675 Es posible que ciertas características de ayuda de sitios web y HTML no funcionen después de instalar la actualización de seguridad 896358 o la actualización de seguridad 890175

  • Después de instalar la actualización de seguridad 896358, las características de algunas aplicaciones web ya no funcionan correctamente. Por ejemplo, es posible que un tema no aparezca al hacer clic en un vínculo. Además, cuando intenta utilizar una ruta de Convención de nomenclatura universal (UNC) para abrir un archivo .chm que se encuentra en una carpeta compartida de red, es posible que los temas del archivo .chm no aparezcan. Para obtener más información acerca de este problema, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
    896054 No puede abrir contenido remoto mediante el protocolo InfoTech después de instalar la actualización de seguridad 896358, la actualización de seguridad 840315 o Windows Server 2003 Service Pack 1

  • Después de instalar la actualización de seguridad 896358, es posible que las aplicaciones web que utilizan el control ActiveX de ayuda HTML (HHCTRL) para habilitar la navegación entre fotogramas no funcionen. Para obtener más información acerca de este problema, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
    896905 Después de instalar la actualización de seguridad 896358, el contenido que debería mostrarse en un marco diferente se muestra en el marco que contiene el control ActiveX de ayuda HTML

  • Después de instalar la actualización de seguridad 896358, es posible que tenga problemas al abrir un archivo de Ayuda HTML desde un hipervínculo en Internet Explorer.
     Para obtener más información acerca de este problema, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
    902225 No puede abrir los archivos de Ayuda HTML desde Internet Explorer después de instalar la actualización de seguridad 896358 o Windows Server 2003 Service Pack 1

  • Después de instalar la actualización de seguridad 896358, el control ActiveX de ayuda HTML ya no aceptará determinados tipos de direcciones URL en los parámetros. Para obtener más información acerca de este problema, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
    905215 Algunos esquemas de dirección URL se omiten cuando los usa en los parámetros de un control ActiveX de ayuda HTML después de instalar la actualización de seguridad 896358

Para obtener más información acerca del Service Pack más reciente para Windows Server 2003, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

889100 Cómo obtener el Service Pack más reciente para Windows Server 2003

Posibles soluciones

Cambios en la Ayuda HTML en la actualización de seguridad 896358

Advertencia En este artículo se proporciona información sobre cómo solucionar problemas causados por la implementación de 896358 de actualizaciones de seguridad. Sin embargo, Microsoft no realiza ninguna recomendación específica sobre qué claves del Registro y valores son correctos para su organización. Su departamento de IT es el que mejor puede sopesar las ventajas de estas soluciones alternativas con respecto a los riesgos que supone su uso. Lo más seguro es no usar ninguna manera de evitar el problema que altere el Registro.

A continuación se proporcionan breves explicaciones de cómo la actualización 896358 puede afectar a las aplicaciones web.

Problema Comportamiento antes de la actualización de seguridad 896358 Comportamiento después de la actualización de seguridad 896358 Artículo de Microsoft Knowledge Base que contiene más información y soluciones alternativas
El Protocolo InfoTech está bloqueado para acceder a contenido remoto El protocolo InfoTech podía mostrar contenido remoto, excepto en Windows Server 2003 Service Pack 1 (SP1), donde esta visualización estaba bloqueada. Todos los sistemas operativos tienen bloqueado el uso del protocolo InfoTech para mostrar contenido remoto. 896054 No puede abrir contenido remoto mediante el protocolo InfoTech después de instalar la actualización de seguridad 896358, la actualización de seguridad 840315 o Windows Server 2003 Service Pack 1
El uso del control ActiveX HTML Help está bloqueado en el contenido remoto La actualización de seguridad 890175 bloqueado el uso del control ActiveX HTML Help en contenido remoto que se muestra en una aplicación que no sea HTML Help. Por ejemplo, el control está bloqueado en Internet Explorer. El control ActiveX de la Ayuda HTML ahora también está bloqueado en la aplicación de Ayuda HTML. 892675 Es posible que ciertas características de ayuda de sitios web y HTML no funcionen después de instalar la actualización de seguridad 896358 o la actualización de seguridad 890175
El uso del control ActiveX HTML Help para mostrar contenido en otro marco está bloqueado La actualización de seguridad 890175 bloqueado el uso del control ActiveX HTML Help en contenido remoto que se muestra en una aplicación que no sea HTML Help. Por ejemplo, el control se bloqueó en Internet Explorer. Las aplicaciones web que utilizan el control ActiveX HTML Help para habilitar la navegación entre fotogramas no funcionarán correctamente. El contenido que debería aparecer en un marco diferente aparece en el marco que contiene el control ActiveX Ayuda de HTML. 896905 Después de instalar la actualización de seguridad 896358, el contenido que debería mostrarse en un marco diferente se muestra en el marco que contiene el control ActiveX de ayuda HTML
Los archivos .chm no se pueden abrir desde Internet Explorer Ningún problema. Cuando utiliza Internet Explorer para abrir un archivo .chm, el tema no se muestra.

Después de usar Internet Explorer para guardar un archivo .chm, es posible que algunos usuarios tengan problemas para abrir el archivo debido a las protecciones del Administrador de datos adjuntos.		 902225 No puede abrir los archivos de Ayuda HTML desde Internet Explorer después de instalar la actualización de seguridad 896358 o Windows Server 2003 Service Pack 1
Algunos esquemas de dirección URL se omiten al usar los esquemas de dirección URL en los parámetros de un control ActiveX de Ayuda HTML. Se permitió cualquier esquema en los parámetros de control ActiveX de la Ayuda HTML. El control ActiveX de ayuda HTML ignora todos los esquemas excepto los siguientes: file, http, https, ftp, its, ms-its, mk:@msitstore, hcp. 905215 Algunos esquemas de dirección URL se omiten cuando los usa en los parámetros de un control ActiveX de ayuda HTML después de instalar la actualización de seguridad 896358

Enfoques para solucionar problemas de compatibilidad de aplicaciones en las 896358 de actualizaciones de seguridad

La actualización de seguridad 896358 admite algunas claves y entradas del Registro que puede usar para solucionar problemas de compatibilidad de las aplicaciones. Use estas preguntas para decidir qué cambios en el Registro debe realizar:

  • ¿Su organización necesita aplicaciones o escenarios que se vean afectados por los cambios que se describen en este artículo?

    • ¿A cuántas aplicaciones afectan los cambios? ¿Cuál es el grado de importancia de estas aplicaciones?
    • ¿Cuál es la gravedad del funcionamiento incorrecto ocasionado por los cambios?
    • ¿Puede modificar los programas para no tener que usar la funcionalidad de Ayuda HTML? Por ejemplo, ¿pueden sus empleados descargar archivos .chm en lugar de ejecutarlos desde un recurso compartido de archivos? ¿Puede una aplicación web utilizar una tabla de contenido DHTML en lugar del control ActiveX Ayuda HTML?

  • ¿Cuáles son los requisitos y las capacidades de seguridad de su organización?

    • Qué es más importante, la funcionalidad de Ayuda HTML que está utilizando o asegurarse de que su seguridad sea lo más sólida posible.
    • ¿Está pensando en habilitar las tecnologías de Ayuda HTML para su uso en la intranet, tal y como se explica en los ejemplos siguientes? Si es así, ¿las medidas de seguridad externas, como un firewall corporativo, le dan la confianza suficiente para seguir este curso? ¿Confía lo suficiente en sus empleados como para no preocuparse de que un sistema dentro de su organización se utilice para atacar a otro?

Algunos ejemplos de cómo trabajar con 896358 de actualizaciones de seguridad

Advertencia Lo más seguro es no usar ninguna manera de evitar el problema que altere el Registro. Si debe usar soluciones alternativas del Registro, establézcalas de la forma más conservadora posible. Por ejemplo, utilice estos métodos:

  • En lugar de utilizar la entrada MaxAllowedZone del Registro, utilice la entrada UrlAllowList del Registro. Establezca UrlAllowList para habilitar el menor número de sitios posible.
  • Si debe usar la entrada MaxAllowedZone del Registro, establezca MaxAllowedZone en un valor no superior al necesario. Si se establece MaxAllowedZone en 3 o superior, se expone el sistema a ataques desde Internet.

Después de recopilar la información sobre el uso de la Ayuda HTML por parte de su organización, revise los ejemplos siguientes para ver si son útiles para ayudarle a crear una estrategia que usar al aplicar 896358 de actualizaciones de seguridad en su organización.

Un ejemplo de enfoque conservador

Un enfoque conservador podría funcionar si las siguientes afirmaciones se aplican a su organización:

  • No se conocen aplicaciones web que utilicen la tecnología HTML Help.
  • Hacer que la seguridad sea lo más sólida posible supera el requisito de las aplicaciones y escenarios que usan HTML Help para funcionar correctamente.
  • Tiene aplicaciones web que utilizan la tecnología HTML Help, pero los propietarios de estas aplicaciones pueden modificarlas rápidamente para utilizar otras tecnologías.
  • Para cualquier aplicación y escenario que requiera tecnología HTML Help, conoce o puede identificar rápidamente los servidores de aplicaciones y recursos compartidos de archivos en los que se implementan. Además, puede proporcionar protección suficiente para estos servidores de aplicaciones y recursos compartidos de archivos.
  • Nadie tiene que abrir archivos .chm desde ubicaciones remotas, como recursos compartidos de archivos.

El siguiente método es un ejemplo de un enfoque conservador:

  1. Aplique la actualización de seguridad 896358. A continuación, use un objeto de directiva de grupo para aplicar restricciones.

    De forma predeterminada, si no modifica una o varias de las entradas del Registro después de instalar la actualización de seguridad 896358, las mitigaciones de seguridad en el 896358 de actualización de seguridad serán lo más restrictivas posible. Sin embargo, puede usar un objeto de directiva de grupo para evitar que los usuarios individuales aflojen las restricciones.

    El siguiente archivo de Registro hace que las mitigaciones de seguridad de la actualización de seguridad 896358 sean lo más restrictivas posible:

    REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""

    Si sabe que su organización no utiliza aplicaciones web que requieran ayuda HTML y los usuarios de su organización no requieren acceso a archivos .chm remotos, puede detenerse aquí.

  2. Investigue cómo las aplicaciones web usan la Ayuda de HTML. Es posible que los usuarios le hayan comentado que algunas aplicaciones web internas se ven afectadas por la actualización. Póngase en contacto con los propietarios de estas aplicaciones web y vea si pueden rediseñar las características que requieren tecnología HTML Help. Si las aplicaciones web pueden prescindir de la tecnología HTML Help, puede detenerse aquí.

  3. Habilitar aplicaciones web de forma selectiva. Si algunas aplicaciones web deben poder utilizar la funcionalidad HTML Help, puede volver a habilitar de forma selectiva el acceso a los servidores que hospedan esas aplicaciones. En el ejemplo siguiente de archivo de Registro se vuelve a habilitar el control ActiveX HTML Help y el protocolo InfoTech para un sitio específico. Este ejemplo de archivo del Registro también vuelve a habilitar la navegación entre fotogramas mediante el control ActiveX Ayuda de HTML.

    REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://contoso/salesapp/"
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"="http://contoso/salesapp/"

    Nota: Es posible que los usuarios sigan sin poder abrir archivos .chm directamente desde un vínculo de una página web.
     Para obtener más información sobre este problema y soluciones alternativas, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:
    902225 No puede abrir los archivos de Ayuda HTML desde Internet Explorer después de instalar la actualización de seguridad 896358 o Windows Server 2003 Service Pack 1

Un ejemplo de un enfoque menos conservador

Este enfoque podría funcionar bien si algunas de las siguientes afirmaciones se aplican a su organización:

  • Está dispuesto a aceptar un riesgo adicional para evitar que la actualización de seguridad afecte 896358 negativamente a sus aplicaciones.
  • No puede identificar rápidamente todas las aplicaciones y escenarios específicos que requieren tecnología HTML Help.
  • Las aplicaciones web que utilizan la tecnología HTML Help son muy importantes para su línea de negocio. Además, no puede modificar rápidamente estas aplicaciones para utilizar otras tecnologías.

El método siguiente es un ejemplo de un enfoque menos conservador:

  1. Aplique la actualización de seguridad 896358. A continuación, use un objeto de directiva de grupo para aplicar restricciones.

    El siguiente ejemplo de archivo de Registro permite que todos los sistemas de la intranet sirvan el control y el contenido de HTML, Ayuda, ActiveX mediante el protocolo InfoTech. Este ejemplo de archivo del Registro también vuelve a habilitar la navegación entre fotogramas mediante el control ActiveX Ayuda de HTML.

    REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000001
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] 
"MaxAllowedZone"=dword:00000001

    Nota: Es posible que los usuarios sigan sin poder abrir archivos .chm directamente desde un vínculo de una página web.
    Para obtener más información sobre este problema y soluciones alternativas, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

    902225 No puede abrir los archivos de Ayuda HTML desde Internet Explorer después de instalar la actualización de seguridad 896358 o Windows Server 2003 Service Pack 1

  2. Investigue cómo las aplicaciones web usan la Ayuda de HTML. Determine qué aplicaciones web requieren la tecnología HTML Help. Póngase en contacto con los propietarios de estas aplicaciones web y vea si pueden rediseñar las características que requieren tecnología HTML Help.

  3. Ajuste la configuración de Ayuda HTML en función de la investigación. Si su investigación determina que las aplicaciones web ya no necesitan la tecnología HTML Help, puede implementar el archivo de Registro siguiente para establecer las restricciones máximas admitidas por la actualización de seguridad 896358:

    REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""

    Si algunas aplicaciones web tienen que utilizar la funcionalidad de Ayuda HTML, puede restringir los sistemas que están habilitados para utilizar la tecnología. El siguiente ejemplo de archivo de Registro restringe el uso del control ActiveX HTML Help y el protocolo InfoTech para sitios de intranet específicos. Este ejemplo de archivo del Registro también permite que el control ActiveX de ayuda HTML navegue entre fotogramas.

    REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;"
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;file://\\wingtiptoys\help\helpfiles"

Entradas del Registro

En la tabla siguiente se enumeran las entradas del Registro de Ayuda HTML que se tratan en este artículo. La tabla también muestra el artículo de Microsoft Knowledge Base que puede consultar para obtener más información.

Valor Artículo de Microsoft Knowledge Base
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\MaxAllowedZone 892675 Es posible que ciertas características de ayuda de sitios web y HTML no funcionen después de instalar la actualización de seguridad 896358 o la actualización de seguridad 890175
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\UrlAllowList 892675 Es posible que ciertas características de ayuda de sitios web y HTML no funcionen después de instalar la actualización de seguridad 896358 o la actualización de seguridad 890175
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\EnableFrameNavigationInSafeMode 896905 Después de instalar la actualización de seguridad 896358, el contenido que debería mostrarse en un marco diferente se muestra en el marco que contiene el control ActiveX de ayuda HTML
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\MaxAllowedZone 896054 No puede abrir contenido remoto mediante el protocolo InfoTech después de instalar la actualización de seguridad 896358, la actualización de seguridad 840315 o Windows Server 2003 Service Pack 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\UrlAllowList 896054 No puede abrir contenido remoto mediante el protocolo InfoTech después de instalar la actualización de seguridad 896358, la actualización de seguridad 840315 o Windows Server 2003 Service Pack 1

Zonas de seguridad de Internet Explorer

Para obtener más información acerca de cómo usar zonas de seguridad en Internet Explorer, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

174360 Cómo usar zonas de seguridad en Internet Explorer

Directiva de grupo

Para obtener más información sobre la directiva de grupo, visite los siguientes sitios web de Microsoft:

Microsoft proporciona ejemplos de programación solo para ilustración, sin garantía expresa o implícita. Esto incluye, entre otras, las garantías implícitas de comerciabilidad o idoneidad para un propósito determinado. En este artículo se supone que está familiarizado con el lenguaje de programación que se muestra y con las herramientas que se usan para crear y depurar procedimientos. Los ingenieros de soporte técnico de Microsoft pueden explicarle la funcionalidad de un determinado procedimiento, pero no modificarán estos ejemplos para ofrecer mayor funcionalidad ni crearán procedimientos adaptados a sus necesidades específicas.

Soporte técnico para versiones de Microsoft Windows basadas en x64

En equipos que ejecutan versiones de Microsoft Windows basadas en x64, es posible que tenga que adaptar las instrucciones de la sección "Resolución" sobre cómo modificar el registro. Por ejemplo, es posible que tenga que modificar una parte distinta del Registro, dependiendo de si desea modificar la funcionalidad de 32 bits o de 64 bits. Para obtener más información, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

896459 Cambios en el Registro en versiones basadas en x64 de Windows Server 2003 y en Windows XP Professional x64 Edition

El fabricante de hardware proporciona soporte técnico y asistencia para las versiones de Windows basadas en x64. El fabricante de hardware proporciona soporte porque se incluye una versión de Windows basada en x64 con el hardware. Es posible que el fabricante de hardware haya personalizado la instalación de Windows con componentes únicos. Los componentes únicos pueden incluir controladores de dispositivo específicos o configuraciones opcionales para maximizar el rendimiento del hardware. Microsoft proporcionará asistencia con un esfuerzo razonable si necesita ayuda técnica con su versión de Windows basada en x64. Sin embargo, es posible que tenga que ponerse en contacto directamente con el fabricante. El fabricante está mejor cualificado para dar soporte al software que instaló en el hardware.

Para obtener información del producto Microsoft Windows XP Professional x64 Edition, visite el siguiente sitio web de Microsoft:

http://www.microsoft.com/windowsxp/64bit/default.mspx Para obtener información acerca de las versiones basadas en x64 de Microsoft Windows Server 2003, visite el siguiente sitio Web de Microsoft:

http://www.microsoft.com/windowsserver2003/64bit/x64/editions.mspx