Esta actualización corrige vulnerabilidades en Microsoft Exchange que podrían permitir la ejecución remota de código.

Fecha de Liberación:	8 de Mayo de 2007
Ultima Revisión:	8 de Mayo de 2007
Fuente:	Microsoft Corp.
CVE ID:	CVE-2007-0039 CVE-2007-0213 CVE-2007-0220 CVE-2007-0221

1. Descripción

   • Vulnerabilidad de inyección de comandos en OWA – CVE-2007-0220

   Existe una vulnerabilidad de revelado de información en Microsoft Exchange en la manera en que OWA maneja los archivos con comandos adjuntos. El problema se debe a un maneja inapropiado de los caracteres UTF en OWA.

   • Vulnerabilidad de archivos malformados iCal – CVE-2007-0039

   Existe una vulnerabilidad de negación de servicio en Microsoft Exchange en la manera en que el calendario interpreta el contenido. El problema se debe a que la función EXCDO proporcionada con Exchange no maneja apropiadamente las propiedades de los archivos iCal en los mensajes de correo electrónico.

   • Vulnerabilidad de decodificación MIME – CVE-2007-0213

   Existe una vulnerabilidad de ejecución remota de código en Microsoft Exchange en la manera ñeque decodifica archivos especialmente diseñados. El problema se debe a que Exchange no decodifica adecuadamente archivos codificados en base64.

   • Vulnerabilidad de procesamiento literal en IMAP – CVE-2007-0221

   Existe una vulnerabilidad de negación de servicio en la manera en como Microsoft Exchange maneja peticiones invalidas de IMAP. Esta vulnerabilidad es causada por el incorrecto manejo de un comando en el servicio IMAP.

2. Impacto

   Un intruso que explote con éxito esta vulnerabilidad podría obtener información, realizar una negación de servicio o tomar el control total del sistema afectado. Un intruso debería mandar un archivo especialmente diseñado o un correo electrónico especialmente diseñado para tomar el control total del sistema afectado.

3. Solución

   Aplicar una actualización:

   • Microsoft Exchange 2000 Server Service Pack 3 con el Exchange 2000 Post-Service Pack 3 Update Rollup de Agosto de 2004 - Descargar Actualización
   • Microsoft Exchange Server 2003 Service Pack 1 - Descargar Actualización
   • Microsoft Exchange Server 2003 Service Pack 2 - Descargar Actualización
   • Microsoft Exchange Server 2007 - Descargar Actualización

4. Apéndice

   • Boletín de Seguridad de Microsoft MS07-026 -

     http://www.microsoft.com/technet/security/bulletin/MS07-026.mspx

El Departamento de Seguridad en Cómputo/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Juan Lopez Morales (jlopez at seguridad dot unam dot mx)