Inicio / Alerta Temprana / Avisos Seguridad / Vulnerabilidad en MHTML podría permitir ejecución de código

Vulnerabilidad en MHTML podría permitir ejecución de código

Fecha de publicación: 
14/03/2011
Importancia: 
3 - Media
Recursos afectados: 

Todas las versiones de Microsoft Windows:

  • Windows XP Service Pack 3
  • Windows XP Professional x64 Edition Service Pack 2
  • Windows Server 2003 Service Pack 2
  • Windows Server 2003 x64 Edition Service Pack 2
  • Windows Server 2003 con SP2 para Itanium-based Systems
  • Windows Vista Service Pack 1 y Windows Vista Service Pack 2
  • Windows Vista x64 Edition Service Pack 1 y Windows Vista x64 Edition Service Pack 2
  • Windows Server 2008 para 32-bit Systems y Windows Server 2008 para 32-bit Systems Service Pack 2**
  • Windows Server 2008 para x64-based Systems y Windows Server 2008 para x64-based Systems Service Pack 2**
  • Windows Server 2008 para Itanium-based Systems y Windows Server 2008 para Itanium-based Systems Service Pack 2
  • Windows 7 para 32-bit Systems y Windows 7 para 32-bit Systems Service Pack 1
  • Windows 7 para x64-based Systems y Windows 7 para x64-based Systems Service Pack 1
  • Windows Server 2008 R2 para x64-based Systems y Windows Server 2008 R2 para x64-based Systems Service Pack 1**
  • Windows Server 2008 R2 para Itanium-based Systems y Windows Server 2008 R2 para Itanium-based Systems Service Pack 1

NOTA: La vulnerabilidad descrita en este documento no afecta a las ediciones compatibles de Windows Server 2008 o Windows Server 2008 R2 si se instala con la opción de instalación "Server Core".

Descripción: 

Microsoft está investigando una vulnerabilidad que afecta a todas las ediciones de Microsoft Windows. La vulnerabilidad podría permitir a un atacante ejecutar código malicioso en el equipo vulnerable al visitar una página web.

Solución: 

Instalar la solución Fix it publicada por Microsoft o aplicar manualmente la solución descrita en la siguiente página web:

NOTA: La solución Fix it descrita no pretende ser un sustituto de ninguna actualización de seguridad. Se recomienda que instale siempre las actualizaciones de seguridad más recientes.

Detalle: 

El formato MHTML es un estándar para incluir recursos en páginas HTTP que están enlazados externamente (por ejemplo ficheros de imágenes y sonido) en el mismo archivo. Dichos ficheros incluidos son codificados utilizando MIMO (también conocido como MHT) y le son asignados el sufijo .mht por omisión cuando son creados por Microsoft Word, Internet Explorer u Opera.

La vulnerabilidad existe debido a la forma en que MHTML (Multipurpose Internet Mail Extension HTML) interpreta las solicitudes con formato MIME para los bloques de contenido dentro de un documento. Es posible en determinadas condiciones que un atacante aproveche esta vulnerabilidad para inyectar un script del lado del cliente en respuesta a una solicitud Web, ejecutándose en el contexto de Internet Explorer de la víctima. La secuencia de comandos podría suplantar contenido, divulgar información o llevar a cabo otro tipo de acciones.

Impacto:

La vulnerabilidad pueden permitir a un atacante:

  • Ejecutar código arbitrario en el equipo víctima.
  • Divulgación de información.