Nuevo parche para agujero de seguridad crítico en Windows Me

Versión para imprimir

La compañía de Bill Gates ha publicado un parche para el Centro de Soporte y Ayuda de Windows Me, ya que el gestor del URL utilizado para acceder al centro, con el prefijo hcp://, contiene un búfer no verificado. Un atacante podría crear un URL que ejecutase su código en el ordenador del usuario y le diera acceso a los archivos locales, que podría borrar, modificar o añadir a su antojo. El URL falso podría colocarse en una página web o bien enviarse por correo electrónico a la víctima.

La gravedad de los ataques por e-mail dependería del cliente de correo que utiliza el usuario. Outlook Express 6.0 y Outlook 2002 en sus configuraciones por defecto, u Outlook 98 o 2000 en conjunción con Outlook Mail Security Update frenarían los ataques automáticos, pero el usuario seguiría siendo vulnerable si hiciera clic en el enlace del correo. En caso de que el usuario disponga de otro cliente de corre, el ataque podría desencadenarse automáticamente, según Microsoft.

Para que el atacante tuviera éxito sería necesario que los usuarios accedieran a su sitio web o abrieran un mensaje HTML. Si el ordenador de la víctima tiene Internet Explorer 6.0 Service Pack instalado, no se podrá ejecutar automáticamente el Centro de Soporte y Ayuda en Outlook Express ni en Outlook.

Microsoft ha publicado un parche que resuelve el problema en su web: www.microsoft.com/security/security_bulletins/ms03-006.asp.

También le puede interesar :