MS05-026: Una vulnerabilidad en la Ayuda HTML podría permitir la ejecución remota de código

Resumen

Microsoft ha publicado el boletín de seguridad MS05-026, que contiene toda la información relevante acerca de esta actualización de seguridad. Incluye la lista detallada de archivos y las opciones de implementación. Para ver el boletín de seguridad completo, visite los siguientes sitios Web de Microsoft:

Usuarios domésticos:

http://www.microsoft.com/spain/athome/security/update/bulletins/default.mspx
Profesionales de IT:

http://www.microsoft.com/spain/technet/seguridad/boletines/MS05-026-IT.mspx

Problemas conocidos

Después de instalar la actualización de seguridad 896358, puede que algunos tipos de aplicaciones basadas en Web no funcionen correctamente. Por ejemplo, puede que ya no funcione una tabla de contenido de Ayuda HTML. Asimismo, puede que algunas características de la Ayuda HTML, como la característica Temas relacionados, no funcionen cuando el archivo .chm se abre desde una ubicación remota.
Para obtener más información acerca de este problema, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

892675 Es posible que algunas características de sitios Web y de la Ayuda HTML no funcionen después de instalar la actualización de seguridad 896358 o la 890175
Después de instalar la actualización de seguridad 896358, las características de algunas aplicaciones Web ya no funcionan correctamente. Por ejemplo, puede que no aparezca un tema al hacer clic en un vínculo. Asimismo, cuando utiliza una ruta de acceso UNC (Convención de nomenclatura universal) para abrir un archivo .chm incluido en una carpeta compartida de la red, puede que no aparezcan los temas del archivo .chm. Para obtener más información acerca de este problema, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

896054 No puede abrir contenido remoto utilizando el protocolo InfoTech después de haber instalado la actualización de seguridad 896358, la actualización de seguridad 840315 o el Service Pack 1 de Windows Server 2003
Después de instalar la actualización de seguridad 896358, puede que no funcionen las aplicaciones Web que utilizan el control ActiveX de la Ayuda HTML (HHCTRL) para habilitar la exploración entre marcos. Para obtener más información acerca de este problema, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

896905 Tras instalar la actualización de seguridad 896358, el contenido que debería mostrarse en un marco distinto aparece en el marco que contiene el control Active X de la Ayuda HTML
Después de instalar la actualización de seguridad 896358, puede tener problemas al abrir un archivo de la Ayuda HTML desde un hipervínculo en Internet Explorer.
Para obtener más información acerca de este problema, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

902225 No puede abrir archivos de Ayuda HTML desde Internet Explorer después de instalar la actualización de seguridad 896358 o el Service Pack 1 de Windows Server 2003
Después de instalar la actualización de seguridad 896358, el control ActiveX de la Ayuda HTML ya no aceptará ciertos tipos de direcciones URL en los parámetros. Para obtener más información acerca de este problema, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

905215 Se ignoran algunos esquemas de URL cuando los usa en los parámetros de un control ActiveX de la Ayuda HTML después de instalar la actualización de seguridad 896358

Para obtener información adicional acerca del Service Pack más reciente de Windows Server 2003, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

889100 Cómo obtener la versión más reciente del Service Pack para Windows Server 2003

Pruebas a realizar

Cambios de la Ayuda HTML en la actualización de seguridad 896358

Advertencia: en este artículo se proporciona información sobre cómo evitar problemas producidos por la implementación de la actualización de seguridad 896358. Sin embargo, Microsoft no realiza ninguna recomendación específica sobre las claves del Registro y los valores correctos para su organización. Su departamento de IT es el que mejor puede sopesar las ventajas de estas soluciones alternativas con respecto a los riesgos que supone su uso. Lo más seguro es no utilizar ninguna solución alternativa que altere el Registro.

A continuación, se incluye una breve explicación de cómo puede afectar la actualización 896358 a las aplicaciones Web.

Problema	Comportamiento antes de la actualización de seguridad 896358	Comportamiento después de la actualización de seguridad 896358	Artículo de Microsoft Knowledge Base con información y soluciones adicionales
El protocolo InfoTech tiene bloqueado el acceso a contenido remoto	El protocolo InfoTech puede mostrar contenido remoto, excepto en Windows Server 2003 Service Pack 1 (SP1), donde este contenido está bloqueado.	Todos los sistemas operativos tienen bloqueado el uso del protocolo InfoTech para mostrar contenido remoto.	896054 No puede abrir contenido remoto con el protocolo InfoTech después de instalar la actualización de seguridad 896358 ó 840315, o Windows Server 2003 Service Pack 1
El uso del control ActiveX de la Ayuda HTML está bloqueado cuando se utiliza contenido remoto	La actualización de seguridad 890175 bloqueaba el uso del control ActiveX de la Ayuda HTML en el contenido remoto que se muestra en una aplicación distinta de la Ayuda HTML. Por ejemplo, el control está bloqueado en Internet Explorer.	El control ActiveX de la Ayuda HTML ahora está bloqueado también dentro de la aplicación Ayuda HTML.	892675 Es posible que algunas características de sitios Web y de la Ayuda HTML no funcionen después de instalar la actualización de seguridad 896358 o la 890175
El uso del control ActiveX de la Ayuda HTML para mostrar contenido en otro marco está bloqueado	La actualización de seguridad 890175 impedía el uso del control ActiveX de la Ayuda HTML en el contenido remoto que se muestra en una aplicación distinta de la Ayuda HTML. Por ejemplo, el control se bloqueaba en Internet Explorer.	Las aplicaciones Web que utilizan el control ActiveX de la Ayuda HTML para habilitar la exploración entre marcos no funcionarán correctamente. El contenido que debería aparecer en un marco diferente aparece en el marco que contiene el control ActiveX de la Ayuda HTML.	896905 Tras instalar la actualización de seguridad 896358, el contenido que debería mostrarse en un marco distinto aparece en el marco que contiene el control Active X de la Ayuda HTML
.Los archivos .chm no se pueden abrir desde Internet Explorer	Ningún problema.	Al utilizar Internet Explorer para abrir un archivo .chm, el tema no se muestra. Después de utilizar Internet Explorer para guardar un archivo .chm, algunos usuarios pueden tener dificultades al abrir el archivo debido a las protecciones del Administrador de datos adjuntos.	902225 No puede abrir archivos de Ayuda HTML desde Internet Explorer después de instalar la actualización de seguridad 896358 o el Service Pack 1 de Windows Server 2003
Algunos esquemas de direcciones URL se pasan por alto cuando los usa en los parámetros de un control ActiveX de la Ayuda HTML.	En los parámetros de los controles ActiveX de la Ayuda HTML se permitía cualquier esquema.	El control ActiveX de la Ayuda HTML pasa por alto todos los esquemas excepto los siguientes: file, http, https, ftp, its, ms-its, mk:@msitstore, Hcp.	905215 Se ignoran algunos esquemas de URL cuando los usa en los parámetros de un control ActiveX de la Ayuda HTML después de instalar la actualización de seguridad 896358

Métodos para evitar problemas de compatibilidad entre aplicaciones en la actualización de seguridad 896358

La actualización de seguridad 896358 admite algunas claves y entradas del Registro que puede utilizar para evitar problemas de compatibilidad entre aplicaciones. Utilice estas preguntas para ayudarle a decidir qué cambios debe realizar en el Registro:

¿Requiere su organización alguna aplicación o escenario que resulte afectado por los cambios descritos en este artículo?
- ¿A cuántas aplicaciones afectan los cambios? ¿Cuál es el grado de importancia de estas aplicaciones?
- ¿Cuál es la gravedad del funcionamiento incorrecto ocasionado por los cambios?
- ¿Puede modificar los programas para que no tengan que utilizar la funcionalidad de Ayuda HTML? Por ejemplo, ¿pueden los empleados descargar archivos .chm en lugar de ejecutarlos desde el recurso compartido de archivos? ¿Puede una aplicación Web utilizar una tabla de contenido DHTML en lugar del control ActiveX de la Ayuda HTML?
¿Cuáles son los requisitos y los recursos de seguridad de su organización?
- ¿Qué es más importante, la funcionalidad de Ayuda HTML que utiliza o garantizar la mayor seguridad posible?
- ¿Está considerando permitir que las tecnologías de Ayuda HTML se usen dentro de su intranet, como se explica en los ejemplos siguientes? ¿Si es así, le ofrecen las medidas de seguridad externas, por ejemplo el uso de un firewall corporativo, confianza suficiente para continuar con esta idea? ¿Confía lo suficiente en sus empleados para no preocuparse de que alguno de ellos pueda utilizar un sistema interno de la organización para atacar a otro sistema?

Algunos ejemplos de cómo trabajar con la actualización de seguridad 896358

Advertencia: lo más seguro es no utilizar ninguna solución alternativa que altere el Registro. Si debe utilizar soluciones alternativas que impliquen modificar el Registro, sea lo más cauteloso posible. Por ejemplo, utilice estos métodos:

En lugar de utilizar la entrada del Registro MaxAllowedZone, utilice UrlAllowList. Establezca UrlAllowList para habilitar el menor número de sitios posible.
Si debe utilizar la entrada del Registro MaxAllowedZone, establezca el máximo valor permitido. Al establecer MaxAllowedZone en 3 o superior, expone sus sistemas a ataques procedentes de Internet.

Después de recopilar la información sobre el uso de la Ayuda HTML en su organización, consulte los ejemplos siguientes para determinar si pueden resultarle útiles para crear una estrategia de aplicación de la actualización de seguridad 896358 dentro de su organización.

Ejemplo de un enfoque conservador

Un enfoque conservador puede ser el adecuado si las circunstancias siguientes se aplican a su organización:

No hay ninguna aplicación Web conocida que utilice la tecnología de Ayuda HTML.
Reforzar al máximo la seguridad compensa los requisitos de las aplicaciones y situaciones que requieren la Ayuda HTML para funcionar correctamente.
Tiene aplicaciones Web que utilizan la tecnología de Ayuda HTML, pero los propietarios de esas aplicaciones pueden modificarlas rápidamente para que utilicen otras tecnologías.
Para todas las aplicaciones y situaciones que requieren la tecnología de Ayuda HTML, conoce o puede identificar rápidamente los servidores de aplicaciones y los recursos compartidos de archivos en los que éstas se implementan. Asimismo, puede proporcionar la protección suficiente para estos servidores de aplicaciones y recursos compartidos de archivos.
Ningún usuario tiene que abrir archivos .chm desde ubicaciones remotas, como recursos compartidos de archivos.

El método siguiente es un ejemplo de enfoque conservador:

Aplique la actualización de seguridad 896358. Después, imponga las restricciones mediante un objeto de directiva de grupo.

De manera predeterminada, si no modifica alguna de las entradas del Registro después de instalar la actualización de seguridad 896358, la reducción de seguridad impuesta por la actualización de seguridad 896358 será lo más restrictiva posible. Sin embargo, puede utilizar un objeto de Directiva de grupo para impedir que los usuarios relajen ellos mismos las restricciones.

El archivo de Registro siguiente restringe al máximo posible la reducción de seguridad impuesta por la actualización de seguridad 896358:
REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions] "MaxAllowedZone"=dword:00000000 "UrlAllowList"="" [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] "MaxAllowedZone"=dword:00000000 "UrlAllowList"=""
Si sabe que su organización no usa ninguna aplicación Web que requiera la Ayuda HTML, y los usuarios de su organización no necesitan tener acceso a los archivos .chm remotos, no hace falta que siga leyendo.
Investigue el modo en que las aplicaciones Web usan la Ayuda HTML. Es posible que los usuarios le indiquen que algunas aplicaciones Web internas resultan afectadas por la actualización. Póngase en contacto con los propietarios de estas aplicaciones Web y vea si pueden rediseñar las características que requieren la tecnología de Ayuda HTML. Si las aplicaciones Web pueden funcionar sin la tecnología de Ayuda HTML, no hace falta que siga leyendo.
Habilite de forma selectiva las aplicaciones Web. Si descubre que algunas aplicaciones Web deben utilizar la funcionalidad de Ayuda HTML, puede volver a habilitar el acceso a los servidores que hospedan esas aplicaciones de forma selectiva. El ejemplo de archivo de Registro siguiente vuelve a habilitar el control ActiveX de la Ayuda HTML y el protocolo InfoTech en un sitio específico. Este ejemplo de archivo de Registro también vuelve a habilitar el control ActiveX de la Ayuda HMTL para la exploración entre marcos.
REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions] "MaxAllowedZone"=dword:00000000 "UrlAllowList"="http://contoso/salesapp/" "EnableFrameNavigationInSafeMode"=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] "MaxAllowedZone"=dword:00000000 "UrlAllowList"="http://contoso/salesapp/"
Nota: los usuarios siguen sin poder abrir directamente los archivos .chm desde un vínculo de una página Web.
Para obtener más información acerca de este problema y de soluciones alternativas, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

902225 No puede abrir archivos de Ayuda HTML desde Internet Explorer después de instalar la actualización de seguridad 896358 o el Service Pack 1 de Windows Server 2003

Ejemplo de un enfoque menos conservador

Este enfoque podría ser el adecuado si algunas de las circunstancias siguientes se aplican en su organización:

No le importa asumir otros riesgos con el fin de evitar que la actualización de seguridad 896358 afecte de forma adversa a sus aplicaciones.
No puede identificar rápidamente todas las aplicaciones y situaciones específicas que requieren la tecnología de Ayuda HTML.
Las aplicaciones Web que utilizan la tecnología de Ayuda HTML son muy importantes para el negocio. Tampoco es posible modificar rápidamente estas aplicaciones para que utilicen otras tecnologías.

El método siguiente es un ejemplo de enfoque menos conservador:

Aplique la actualización de seguridad 896358. Después, imponga las restricciones mediante un objeto de directiva de grupo.

El ejemplo de archivo de Registro siguiente permite que todos los sistemas de la intranet atiendan el control ActiveX y el contenido de la Ayuda HTML mediante el protocolo InfoTech. Este ejemplo de archivo de Registro también vuelve a habilitar el control ActiveX de la Ayuda HMTL para la exploración entre marcos.
REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions] "MaxAllowedZone"=dword:00000001 "EnableFrameNavigationInSafeMode"=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions] "MaxAllowedZone"=dword:00000001
Nota: los usuarios siguen sin poder abrir directamente los archivos .chm desde un vínculo de una página Web.
Para obtener más información acerca de este problema y de soluciones alternativas, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

902225 No puede abrir archivos de Ayuda HTML desde Internet Explorer después de instalar la actualización de seguridad 896358 o el Service Pack 1 de Windows Server 2003
Investigue el modo en que las aplicaciones Web usan la Ayuda HTML. Determine qué aplicaciones Web requieren la tecnología de Ayuda HTML. Póngase en contacto con los propietarios de estas aplicaciones Web y vea si pueden rediseñar las características que requieren la tecnología de Ayuda HTML.

Ajuste la configuración de la Ayuda HTML a partir de los resultados de la investigación. Si en la investigación determina que las aplicaciones Web ya no necesitan la tecnología de Ayuda HTML, puede implementar el archivo de Registro siguiente para establecer las restricciones máximas admitidas por la actualización de seguridad 896358:

REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000
"UrlAllowList"=""

Si descubre que algunas aplicaciones Web tienen que utilizar la funcionalidad de Ayuda HTML, puede restringir los sistemas que pueden utilizarla. El ejemplo de archivo de Registro siguiente restringe el uso del control ActiveX de la Ayuda HTML y del protocolo InfoTech a sitios específicos de la intranet. Este ejemplo de archivo de Registro permite también la exploración entre marcos con el control ActiveX de la Ayuda HMTL.

REGEDIT4
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;"
"EnableFrameNavigationInSafeMode"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions]
"MaxAllowedZone"=dword:00000000 
"UrlAllowList"="http://wingtiptoys/catalog/;\\wingtiptoys\help\helpfiles;file://\\wingtiptoys\help\helpfiles"

Entradas del Registro

En la tabla siguiente se muestran las entradas del Registro de la Ayuda HTML que se describen en este artículo. En la tabla se indica también el artículo de Microsoft Knowledge Base que puede consultar para obtener más información.

Valor	Artículo de Microsoft Knowledge Base
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\MaxAllowedZone	892675 Es posible que algunas características de sitios Web y de la Ayuda HTML no funcionen después de instalar la actualización de seguridad 896358 o la 890175
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\UrlAllowList	892675 Es posible que algunas características de sitios Web y de la Ayuda HTML no funcionen después de instalar la actualización de seguridad 896358 o la 890175
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\HHRestrictions\EnableFrameNavigationInSafeMode	896905 Tras instalar la actualización de seguridad 896358, el contenido que debería mostrarse en un marco distinto aparece en el marco que contiene el control Active X de la Ayuda HTML
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\MaxAllowedZone	896054No puede abrir contenido remoto con el protocolo InfoTech después de instalar la actualización de seguridad 896358 ó 840315, o Windows Server 2003 Service Pack 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\HTMLHelp\1.x\ItssRestrictions\UrlAllowList	896054No puede abrir contenido remoto con el protocolo InfoTech después de instalar la actualización de seguridad 896358 ó 840315, o Windows Server 2003 Service Pack 1

Zonas de seguridad de Internet Explorer

Para obtener información adicional acerca de cómo utilizar las zonas de seguridad en Internet Explorer, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

174360 Cómo utilizar las zonas de seguridad en Internet Explorer

Directiva de grupo

Para obtener más información acerca de la Directiva de grupo, visite los siguientes sitios Web de Microsoft:

Colección de Directivas de grupo

http://technet2.microsoft.com/windowsserver/en/library/6d7cb788-b31d-4d17-9f1e-b5ddaa6deecd1033.mspx
Editor de objetos de Directiva de grupo

http://technet2.microsoft.com/windowsserver/en/library/47ba1311-6cca-414f-98c9-2d7f99fca8a31033.mspx
Herramientas y configuración básicas de directivas de grupo

http://technet2.microsoft.com/windowsserver/en/library/e926577a-5619-4912-b5d9-e73d4bdc94911033.mspx

Microsoft proporciona ejemplos de programación sólo como ilustración, sin ninguna garantía ya sea expresa o implícita. Esto incluye, entre otras, las garantías implícitas de comerciabilidad e idoneidad para un fin determinado. En este artículo se da por supuesto que ya conoce el lenguaje de programación que se muestra, así como las herramientas empleadas para crear y depurar procedimientos. Los ingenieros de soporte técnico de Microsoft pueden explicarle la funcionalidad de un determinado procedimiento, pero no modificarán estos ejemplos para ofrecer mayor funcionalidad ni crearán procedimientos adaptados a sus necesidades específicas.

Soporte técnico para las versiones basadas en x64 de Microsoft Windows

En los equipos que ejecutan versiones basadas en x64 de Microsoft Windows, quizá tenga que adaptar las instrucciones de la sección "Solución" relativas a cómo modificar el Registro. Por ejemplo, podría ser necesario modificar una parte diferente del Registro, en función de si desea modificar la funcionalidad de 32 bits o de 64 bits. Para obtener más información al respecto, haga clic en el número de artículo siguiente para verlo en Microsoft Knowledge Base:

896459 Cambios en el Registro en las versiones basadas en x64 de Windows Server 2003 y de Windows XP Professional x64 Edition

El fabricante del hardware proporciona soporte técnico y ayuda para las versiones basadas en x64 de Windows. El fabricante de hardware le proporciona soporte técnico, ya que incluyó en el hardware una versión basada en x64 de Windows. El fabricante de hardware podría haber personalizado con componentes exclusivos la instalación de Windows. Esos componentes exclusivos podrían incluir controladores de dispositivo específicos o configuraciones opcionales para maximizar el rendimiento del hardware. Microsoft hará un esfuerzo razonable para proporcionarle ayuda si necesita ayuda técnica para su versión basada en x64 de Windows. Sin embargo, es posible que deba ponerse en contacto directamente con el fabricante. El fabricante es el mejor cualificado para proporcionar el soporte técnico del software que él mismo instaló en el hardware.

Para obtener más información acerca de Microsoft Windows XP Professional x64 Edition, visite el siguiente sitio Web de Microsoft:

http://www.microsoft.com/spain/windowsxp/64bit/default.mspxPara obtener información de producto acerca de las versiones basadas en x64 de Microsoft Windows Server 2003, visite el siguiente sitio Web de Microsoft:

http://www.microsoft.com/spain/servidores/windowsserver2003/64bit/x64/default.mspx