Ya es casi una costumbre que Microsoft libere un nuevo parche acumulativo para el Internet Explorer cada dos meses, y el día de hoy, a poco de finalizar el mes de Agosto, tenemos el último disponible. Éste publicado adjunto al Boletín de Seguridad MS03-032.

Además de contener todas las correcciones incluidas en parches acumulativos previos, esta nueva actualización contiene soluciones a tres problemas de seguridad nuevos considerados de moderados a críticos dependiendo la plataforma que utilice el usuario.

En primer lugar, este nuevo parche desactiva un control ActiveX vulnerable, el cual ya no se utilizará más en Internet Explorer. Este control era parte de la herramienta de reporte de Windows, y se encontraba alojado en el archivo BR549.DLL. Existía un buffer no chequeado correctamente en este componente que podía llegar a ser explotado desde un sitio de internet remoto para ejecutar código arbitrario.

La segunda falla, no es considerada como crítica, sino como importante, aunque también permite la posibilidad de ejecución de cualquier acción en el equipo vulnerable. La razón por la que no se considera tan grave es debido a que requiere de ciertos escenarios especiales para poder ser aprovechada por un atacante.

Este agujero de seguridad existe debido a un error en el funcionamiento del Internet Explorer que puede permitir la ejecución de scripts almacenados en el cache del navegador con las restricciones mínimas de la zona de seguridad Mi PC, en lugar de las de la zona de Internet.

El otro problema corregido en esta actualización si es considerado como crítico, debido a que es posible explotarlo en forma sencilla desde un sitio de internet o mensaje de correo electrónico en formato HTML, y que en realidad se trata de un problema corregido anteriormente, pero no en su totalidad.

Esta última falla está asociada a la etiqueta OBJECT que puede incluirse en un archivo HTML, la cual no es interpretada correctamente por el Internet Explorer en algunos casos, y puede permitir que un atacante lleve a cabo cualquier acción en el ordenador de su víctima.

En todas las plataformas Windows estos agujeros de seguridad son considerados de importantes a críticos, salvo en la nueva Windows Server 2003 debido a la configuración especial de seguridad que provee por defecto, la cual, si está activada, previene de este tipo de ataques.

Se recomienda a todos los usuarios que actualicen su equipo a través de Windows Update a la brevedad posible, o descarguen directamente el parche correspondiente a su versión de Windows desde el Boletín de Seguridad antes mencionado.

Más información

Virus Attack! – Parche acumulativo para Internet Explorer
http://virusattack.virusattack.com.ar/parches/VerParche.php3?aplicacion=4#153

Microsoft – Boletín de Seguridad MS03-023
http://www.microsoft.com/technet/security/bulletin/MS03-032.asp