Microsoft desarrolla el primer parche de seguridad para Windows 2003

Dos fallos de seguridad podrían permitir a un atacante tomar el control del sistema de usuario en las actuales versiones del navegador Web Internet Explorer, incluida la suministrada con Windows Server 2003, según advertía ayer Microsoft. A fin de prevenir posibles daños, la compañía ha desarrollado ya un parche, el primero para su nueva plataforma.

Las versiones de Explorer afectadas son las 5.01, 6.0 y 6.0 para Windows Server 2003, de acuerdo con las informaciones publicadas por Microsoft en su boletín de seguridad MS03-020, que también incluye el software desarrollado para resolver el problema, directamente instalable desde www.microsoft.com/technet/security/bulletin/MS03-020.asp.

Con este anuncio, Microsoft se ha visto forzada a desarrollar el primer parche de seguridad para Windows Server 2003, a dos meses de su lanzamiento como uno de los productos más seguros en la historia de la compañía. No obstante, la compañía ha dejado claro que el problema con Internet Explorer no contradice, sino más bien en todo caso demuestra la seguridad de su nuevo sistema operativo. “Windows Server 2003 no es vulnerable en su configuración por defecto a este potencial ataque”, ha declarado Jeff Jones, director senior de Trustworthy Computing en Microsoft. “De hecho, este fallo demuestra que la plataforma es segura por diseño, segura por defecto y segura por desarrollo”. Así, Jones alude al hecho de que en Windows Server 2003, Internet Explorer se mantiene aislado cuando el sistema no espera que el usuario utilice un servidor para la navegación Web general. “El software tiene pues, un área reducida susceptible de posibles ataques”.

Microsoft aplica un esquema de cuatro niveles para determinar la gravedad de los problemas de seguridad en sus productos. Aquellas vulnerabilidades explotables para la difusión de gusanos maliciosos a través de Internet sin intervención alguna del usuario –es decir, por defecto- son clasificadas como “críticas”. Se consideran “importantes” los fallos que pueden exponer a daños potenciales los datos del usuario o amenazar los recursos de sistema. Por último, son “moderadas” aquellas vulnerabilidades difíciles de aprovechar por factores diversos, como la inmunidad de la configuración por defecto o la dificultad de explotar la brecha por razones intrínsecas a su naturaleza. Mientras que en las versiones anteriores de Windows la valoración de la vulnerabilidad ante el fallo ahora anunciado alcanza niveles críticos, en Windows Server 2003 resulta moderada.

Por su parte, analistas de Forrester Research han advertido que aún es demasiado pronto para sacar conclusión alguna sobre el nivel de seguridad de Windows Server 2003, aunque el hecho de que la configuración por defecto de la plataforma no sea vulnerable a este problema concreto debe interpretarse como una noticia positiva a favor, en principio, de los argumentos de Microsoft. Pero también han considerado que el problema es demasiado puntual como para constituir una prueba de que realmente la nueva plataforma es más segura que las anteriores.

En cualquier caso, lo que sí se conoce es el origen de esta brecha de doble dimensión. Una primera vulnerabilidad existe porque Internet Explore puede empezar automáticamente a descargar y correr software si es desbordado por peticiones de descarga, facilitando así al atacante la posibilidad de correr código arbitrario sobre el sistema del usuario.

La segunda brecha se produce como consecuencia de un fallo por exceso en la memoria buffer debido al procedimiento de lectura de las etiquetas de objetos en las páginas Web aplicado por Internet Explorer. Estas etiquetas son utilizadas para integrar objetos como documentos de Office en la Web, y generalmente los problemas por desbordamiento permiten al atacante asumir el control de la máquina de sus víctimas.

Viñeta publicada el 20 de febrero de 1870 en La Flaca n.º 35 Tendencias

ny2 ACTUALIDAD

ny2 Sociedad de la información

Día de la Movilidad y el BYOD Coffee Break