MS15-011: Una vulnerabilidad en la directiva de grupo podría permitir la ejecución remota de código: 10 de febrero de 2015

Se aplica a

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows 8 Enterprise Windows 8 Pro Windows 8 Windows RT Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Obtener ayuda con Copilot

Resumen

Esta actualización de seguridad resuelve una vulnerabilidad notificada de forma privada en Microsoft Windows. Existe una vulnerabilidad de ejecución de código remoto en la forma en que la directiva de grupo recibe y aplica los datos de conexión cuando un sistema unido a un dominio se conecta a un controlador de dominio. Un atacante que aprovechara esta vulnerabilidad podría tomar el control completo de un sistema afectado. Así, un atacante podría instalar programas, ver, cambiar o eliminar datos, o podría crear nuevas cuentas con todos los derechos de usuario. Los usuarios cuyas cuentas estén configuradas con pocos derechos de usuario en el sistema correrían un riesgo menor que los usuarios que dispongan de privilegios administrativos.

Introducción

Microsoft ha publicado el boletín de seguridad MS15-011. Para obtener más información sobre este boletín de seguridad:

Usuarios particulares:

https://www.microsoft.com/security/pc-security/updates.aspx Omita los detalles: descargue ahora las actualizaciones para su equipo doméstico o portátil desde el sitio web de Microsoft Update:

https://update.microsoft.com/microsoftupdate/
Profesionales de TI:

https://technet.microsoft.com/library/security/MS15-011

Cómo obtener ayuda y soporte técnico para esta actualización de seguridad

Ayuda para la instalación de actualizaciones:
Compatibilidad con Microsoft Update

Soluciones de seguridad para profesionales de TI:
Soporte técnico y solución de problemas de seguridad de TechNet

Ayude a proteger su equipo basado en Windows frente a virus y malware:
Centro de seguridad y soluciones para virus

Soporte local según el país o la región:
Soporte internacional

Más información

Nota: Esta actualización de seguridad incluye algunos archivos que están en la actualización de seguridad 3031432. Consulte el artículo de Knowledge Base 3031432 para obtener más información. Esto incluye problemas conocidos.

Comportamiento del paquete secundario

Los clientes que instalen esta actualización de seguridad pueden enfrentarse a un problema conocido en el que se genera el error 1108 en el registro de eventos de seguridad en lugar del evento de auditoría 4688 habitual. Para solucionar este problema, los 3004375 de actualización deben instalarse junto con esta actualización (actualización 3000483).

Nota: Este problema se detectó por primera vez en la actualización de seguridad 3023266 (MS15-001).

Para clientes de Windows Server 2008 R2 y Windows Server 2012

En Windows Server 2008 R2 y Windows Server 2012, la actualización 3004375 se instala junto con la actualización 3000483.

Para clientes de Windows Update, Windows Server Update Services (WSUS) y del catálogo de Microsoft

El 3004375 de actualización se instala de forma automática y transparente junto con la actualización de seguridad 3000483. La 3004375 de actualización aparecerá por separado en la lista de actualizaciones instaladas cuando se vea en el elemento Agregar o quitar programas en Panel de control. La instalación conjunta de ambos paquetes solo requiere un reinicio.

Para clientes del Centro de descarga

Para solucionar el problema conocido, si descarga e instala esta actualización de seguridad desde el Centro de descarga de Microsoft para Windows Server 2008 R2 o Windows Server 2012, debe seleccionar 3000483 de actualización y actualizar 3004375. Debe instalar ambas actualizaciones para solucionar el problema conocido.

Configuración de directiva de grupo

Esta actualización de seguridad requiere que se realicen los siguientes pasos para protegerse contra la vulnerabilidad descrita en el boletín (MS15-011). Para habilitar esta funcionalidad, un administrador del sistema debe aplicar la siguiente configuración de directiva de grupo además de instalar la actualización de seguridad 3000483.

El servicio de directiva de grupo en equipos basados en Windows unidos a un dominio intenta automáticamente descargar directivas de seguridad actualizadas desde las rutas de la Convención de nomenclatura universal (UNC) que comienzan por \\<Domain\SYSVOL>. Ejecutará todos los scripts configurados para ejecutarse en los objetos de la directiva de grupo (GPO) aplicables. Normalmente, se almacenan en rutas UNC que están con \\<Domain\NETLOGON>.

Cuando las aplicaciones realizan solicitudes de E/S que contienen rutas de Convención de nomenclatura uniforme (UNC), estas solicitudes se pasan al proveedor UNC múltiple (MUP). El MUP selecciona un proveedor UNC para manejar la solicitud de E/S y reenvía la solicitud al proveedor UNC seleccionado. El proveedor UNC seleccionado controla la solicitud y devuelve los resultados a la aplicación que emitió la solicitud.

Si una parte malintencionada puede suplantar, manipular o redirigir las comunicaciones entre el proveedor UNC y el servidor de destino, es posible que la parte malintencionada pueda hacer que la directiva de grupo ejecute programas o scripts con malas intenciones en lugar de los scripts seleccionados por los administradores del sistema o además de ellos.

Microsoft anuncia la disponibilidad de UNC Hardened Access, una nueva característica de la plataforma Windows. Para mitigar este y otros ataques relacionados, esta característica mejora la protección y el control de los datos cuando los equipos con Windows acceden a rutas UNC.

Cuando MUP recibe una solicitud de E/S para una ruta UNC que está configurada para requerir acceso protegido UNC, MUP considerará solo proveedores UNC que admitan las propiedades de seguridad necesarias según la configuración de acceso protegido UNC.

En este artículo de Microsoft Knowledge Base se proporciona información a los administradores del sistema sobre esta nueva funcionalidad y cómo se puede implementar para ayudar a proteger los sistemas Windows.

Configuración del acceso protegido UNC a través de la directiva de grupo

La característica de acceso protegido UNC permite que servidores o recursos compartidos específicos se "etiqueten" con información adicional para informar a los proveedores MUP y UNC de los requisitos de seguridad más allá de los valores predeterminados del proveedor UNC. En particular, se admiten las tres propiedades de seguridad siguientes:

RequireMutualAuthentication=<0|1> : cuando esta propiedad se establece en 1, el proveedor UNC seleccionado requiere que el proveedor UNC pueda autenticar la identidad del servidor remoto (además de la comprobación del servidor de la identidad del cliente) para bloquear los ataques de suplantación de identidad.
RequireIntegrity=<0|1> : cuando esta propiedad se establece en 1, MUP y el proveedor UNC seleccionado deben usar comprobaciones de integridad para detectar cuándo terceros manipulan solicitudes o respuestas mientras están en tránsito entre el cliente y el servidor para bloquear ataques de manipulación.
RequirePrivacy=<0|1> : cuando esta propiedad se establece en 1, MUP y el proveedor UNC seleccionado deben usar una forma de cifrado de tal manera que cuando terceros vean la comunicación entre el cliente y el servidor, no puedan ver ninguna información confidencial contenida en la comunicación.

Para habilitar el acceso protegido UNC mediante la directiva de grupo, siga estos pasos:

Abra la Consola de administración de la directiva de grupo.
En el árbol de consola, en el bosque y en el dominio que contienen el objeto de la directiva de grupo (GPO) que desea crear o editar, haga doble clic en Objetos de la directiva de grupo.

Nombre del bosque/Dominios/<Nombre de dominio>
(Opcional) Haga clic con el botón derecho en Objetos de la directiva de grupo y luego haga clic en Nuevo.
Escriba el nombre deseado para el nuevo GPO.
Haga clic con el botón secundario en el GPO deseado y luego haga clic en Editar.
En la consola del Editor de objetos de la directiva de grupo, vaya a la siguiente ruta de directiva:

Configuración del equipo/Plantillas administrativas/Red/Proveedor de red
Haga clic con el botón derecho en la opción Rutas UNC protegidas y, a continuación, haga clic en Editar.
Seleccione el botón de opción Habilitado .
En el panel Opciones , desplácese hacia abajo y haga clic en Mostrar.
Agregue una o varias entradas de configuración. Para ello, siga estos pasos:
1. En la columna Nombre del valor , escriba la ruta de acceso UNC que desea configurar. La ruta de acceso UNC se puede especificar de una de las siguientes formas:
  - \\<Server>\<Share> : la entrada de configuración se aplica al recurso compartido con el nombre especificado en el servidor especificado.
  - \\*\<Share> : la entrada de configuración se aplica al recurso compartido que tiene el nombre especificado en cualquier servidor.
  - \\<Server>\*: la entrada de configuración se aplica a cualquier recurso compartido del servidor especificado.
  - \\<Server> : es lo mismo que \\<Server>\*
  Nota: Se debe especificar un nombre específico de servidor o recurso compartido. No se admiten todas las rutas de acceso comodín, como \\* y \\*\*.
2. En la columna Valor, escriba el nombre de la propiedad de seguridad que se va a configurar (por ejemplo, escriba RequireMutualAuthentication, RequireIntegrity o RequirePrivacy) seguido de un signo igual (=) y del número 0 o 1.
  
  Nota: Se pueden asignar varias propiedades para una única ruta UNC separando cada par "<Propiedad> = <Valor>" con una coma (,).
Haga clic en Aceptar dos veces y luego cierre el editor de GPO.
Si ha creado un nuevo GPO anteriormente, vincule el GPO a uno o varios dominios. Para ello, haga clic con el botón derecho en el dominio deseado, haga clic en Vincular un GPO existente, seleccione el GPO recién agregado y, a continuación, haga clic en Aceptar.
Para probar el GPO nuevo o actualizado, inicie sesión en un equipo al que se aplique el GPO y, a continuación, ejecute el siguiente comando:

gpupdate /force
Cualquier error de configuración se notificará en la siguiente ruta de acceso en el Visor de eventos:

Visor de eventos\Registros de aplicaciones y servicios\Microsoft\Windows\NetworkProvider\Operational

Ejemplos de configuración avanzada

Cuando se aplica más de una sola entrada de configuración a una solicitud de E/S a una ruta de acceso UNC (por ejemplo, debido al uso de entradas comodín), las propiedades de la ruta de acceso UNC más específica tienen prioridad.

Por ejemplo, considere un sistema que tiene la siguiente configuración de acceso protegido UNC aplicada a través de la directiva de grupo:

Nombre de valor	Valor
\\fileshare.contoso.com\*	RequireMutualAuthentication=1, RequireIntegrity=1
\\fileshare.contoso.com\public	RequireIntegrity=0
\\fileshare.contoso.com\secret	RequirePrivacy=1

En este escenario, todas las propiedades que se especifican para \\fileshare.contoso.com\* también se aplican al recurso compartido "secreto". Sin embargo, la propiedad RequireIntegrity del recurso compartido "público" invalidaría la configuración de RequireIntegrity para \\fileshare.contoso.com\*. Por lo tanto, la configuración eficaz de la protección UNC para los recursos compartidos de fileshare.contoso.com denominados públicos, privados y secretos sería la siguiente:

Ruta de acceso UNC	Configuración efectiva de la protección UNC
\\fileshare.contoso.com\public	RequireMutualAuthentication=1, RequireIntegrity=0
\\fileshare.contoso.com\private	RequireMutualAuthentication=1, RequireIntegrity=1
\\fileshare.contoso.com\secret	RequireMutualAuthentication=1, RequireIntegrity=1, RequirePrivacy=1

Implementación del bloque de mensajes del servidor (SMB)

Autenticación mutua

SMB no realiza la autenticación mutua por sí mismo. En su lugar, delega la tarea al proveedor de compatibilidad para seguridad negociado que es compatible con Windows y el servidor remoto. Si el proveedor de compatibilidad para seguridad indica que la autenticación mutua entre el cliente y el servidor no se realizó correctamente, el cliente SMB no permite el acceso a las rutas de acceso del servidor que están configuradas para requerir autenticación mutua.

Nota: La autenticación mutua en una instalación predeterminada de Windows solo está disponible cuando se usan credenciales de dominio de Active Directory a través de la autenticación Kerberos. La autenticación NTLM no admite la autenticación mutua. A partir de Windows 7 y Windows Server 2008 R2, los clientes pueden instalar SSP de terceros que se integren con NegoEx en lugar de utilizar la autenticación NTLM o Kerberos.

Integridad

SMB se asegura de la integridad cuando esto es necesario activando la firma SMB para solicitudes de E/S a rutas configuradas mediante RequireIntegrity=1. Establecer RequireIntegrity=0 en una ruta de acceso no deshabilitará las firmas SMB cuando la opción de configuración RequireSecuritySignatures del cliente SMB o del servidor SMB esté habilitada.

Nota: Las conexiones SMB v1 no permiten la firma SMB por solicitud. Si el cliente SMB ya tiene una conexión abierta a un servidor SMB v1 que tiene archivos abiertos que no requieren la firma SMB, el cliente no podrá acceder a ningún recurso compartido de ese servidor para el que RequireIntegrity esté establecido en 1 hasta que se cierren todos los demás controladores de archivos en el mismo servidor. Por consiguiente, recomendamos que los servidores que no admitan SMB v2 o versiones posteriores (por ejemplo, Windows Server 2003 R2 o versiones anteriores) tengan configurado el servidor SMB para requerir siempre firmas de seguridad si se espera que el servidor mencionado anteriormente hospede recursos compartidos para los que los clientes tendrán configurado RequireIntegrity=1. Para obtener más información acerca de cómo configurar las firmas SMB en el servidor SMB, consulte el siguiente artículo de Microsoft Knowledge Base:

Información general sobre la firma de bloques de mensajes del servidor

Privacidad

SMB se asegura de la privacidad cuando sea necesario activando el cifrado SMB para las solicitudes de E/S a las rutas de acceso configuradas mediante RequirePrivacy=1. Establecer RequirePrivacy=0 en una ruta de acceso no deshabilitará el cifrado SMB durante el acceso a recursos compartidos cuando el servidor SMB esté configurado para requerir cifrado SMB para ese recurso compartido.

Nota: El cifrado SMB solo es compatible con el cliente SMB en Windows 8, Windows Server 2012 y versiones posteriores y, después, solo cuando se comunica con servidores compatibles con el cifrado SMB (como Windows 8, Windows Server 2012 y versiones posteriores). Si configura RequirePrivacy=1 en clientes que no admiten cifrado SMB o para rutas UNC hospedadas por servidores que no admiten cifrado SMB, tendrá una configuración en la que el cliente SMB no podrá acceder a la ruta especificada.

Configuración mínima recomendada para equipos unidos a un dominio

Se recomienda configurar todos los recursos compartidos de NETLOGON y SYSVOL para que requieran autenticación mutua e integridad a fin de ayudar a proteger la directiva de grupo frente a ataques de suplantación y manipulación que se pueden aprovechar para lograr la ejecución de código remoto.

Rutas UNC reforzadas

Nombre de valor	Valor
\\*\NETLOGON	RequireMutualAuthentication=1, RequireIntegrity=1
\\*\SYSVOL	RequireMutualAuthentication=1, RequireIntegrity=1

Aplicabilidad de equipos unidos a un dominio

Esta actualización de seguridad se ofrece a través de Windows Update únicamente a los equipos unidos a un dominio. Los clientes de DLC y WSUS deben aplicar esta actualización de seguridad solo a equipos unidos a un dominio.

Windows Server 2003 SP2

Determinamos que la implementación de estos cambios en Windows Server 2003 SP2 requeriría cambios de arquitectura tan amplios que desestabilizarían el sistema y provocarían problemas de compatibilidad de las aplicaciones. Seguimos recomendando que los clientes preocupados por la seguridad actualicen a nuestros sistemas operativos más recientes para mantenerse al día con las amenazas de seguridad y beneficiarse de una protección sólida y moderna del sistema operativo.

Información de implementación de la actualización de seguridad

Windows Vista (todas las ediciones)Tabla de referencia