1 2 3 4 5 6

Vulnerabilidades rss pdf

Coordinación de Seguridad de la Información - UNAM-CERT -- DGTIC-UNAM

Vulnerabilidad de Seguridad UNAM-CERT-2010-041 Vulnerabilidades en Microsoft Office Access ActiveX Controls podrían permitir la ejecución remota de código

Esta actualización de seguridad resuelve dos vulnerabilidades reportadas de manera privada en Microsoft Office Access ActiveX Controls. Estas vulnerabilidades podrían permitir la ejecución remota de código si un usuario abriera un archivo de Office especialmente preparado o visualizara una página web que utilizara controles de Access ActiveX. Usuarios cuyas cuentas están configuradas para tener pocos privilegios sobre el sistema podrían ser menos impactados que usuarios que operan con privilegios de administrador.

  • Fecha de Liberación: 13-Jul-2010
  • Ultima Revisión: 13-Jul-2010
  • Fuente: Microsoft Corp.
  • CVE ID: CVE-2010-0814 CVE-2010-1881
  • Riesgo Crítico
  • Problema de Vulnerabilidad Remoto
  • Tipo de Vulnerabilidad Ejecución remota de código

Sistemas Afectados

Microsoft Windows todas las versiones 2007 Microsoft Office System Service Pack 1 and 2007 Microsoft Office System Service Pack 2 KB979440
Microsoft Windows todas las versiones Microsoft Office 2003 Service Pack 3 KB981716
  1. Índice de Explotabilidad

    Vulnerabilidad en Access ActiveX Control - CVE-2010-0814

    Código de explotación consistente.

    Vulnerabilidad de variable no inicializada de ACCWIZ.dll - CVE-2010-1881

    Código de explotación consistente.

  2. Descripción

    Vulnerabilidad en Access ActiveX Control - CVE-2010-0814

    Una vulnerabilidad de ejecución remota de código existe en los controles de Access ActiveX debido a la forma en que los múltiples controles de ActiveX son cargados por Internet Explorer.

    Vulnerabilidad de variable no inicializada de ACCWIZ.dll - CVE-2010-1881

    Una vulnerabilidad de ejecución remota de código existe en la forma en que el control FieldList ActiveX es utilizado por Microsoft Office e Internet Explorer.

  3. Impacto

    Vulnerabilidad en Access ActiveX Control - CVE-2010-0814

    Un atacante que explotara exitosamente esta vulnerabilidad podría correr código arbitrario como un usuario con sesión iniciada. Si un usuario inicia sesión con privilegios de administrador, un atacante podría tomar control completo del sistema afectado. El atacante podría entonces instalar programas; visualizar, modificar, o eliminar datos; o crear nuevas cuentas de usuario con todos los privilegios. Usuarios cuyas cuentas están configuradas para tener pocos privilegios sobre el sistema podrían ser menos impactados que usuarios que operan con privilegios de administrador.

    Vulnerabilidad de variable no inicializada de ACCWIZ.dll - CVE-2010-1881

    Un atacante que explotara exitosamente esta vulnerabilidad podría correr código arbitrario como un usuario con sesión iniciada. Si un usuario inicia sesión con privilegios de administrador, un atacante podría tomar control completo del sistema afectado. El atacante podría entonces instalar programas; visualizar, modificar, o eliminar datos; o crear nuevas cuentas de usuario con todos los privilegios. Usuarios cuyas cuentas están configuradas para tener pocos privilegios sobre el sistema podrían ser menos impactados que usuarios que operan con privilegios de administrador.

  4. Solución

    1. Microsoft Office 2003 Service Pack 3, Microsoft Office Access 2003 Service Pack 3

    2. 2007 Microsoft Office System Service Pack 1 and 2007 Microsoft Office System Service Pack 2, Microsoft Office Access 2007 Service Pack 1 and Microsoft Office Access 2007 Service Pack 2

  5. Referencias

    http://www.microsoft.com/technet/security/bulletin/ms10-jul.mspx

    http://www.microsoft.com/technet/security/bulletin/MS10-044.mspx

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

  • Manuel Ignacio Quintero Martínez (mquintero at seguridad dot unam dot mx)
  • Francisco Carlos Martínez Godínez (fmartinez at seguridad dot unam dot mx)

UNAM-CERT
Equipo de Respuesta a Incidentes UNAM
Coordinación de Seguridad de la Información

incidentes at seguridad.unam.mx
phishing at seguridad.unam.mx
http://www.cert.org.mx
http://www.seguridad.unam.mx
ftp://ftp.seguridad.unam.mx
Tel: 56 22 81 69
Fax: 56 22 80 47


Universidad Nacional Autonoma de México Aviso legal |  Créditos |  Staff |  Administración
Copyright © Todos los derechos reservados
UNAM - CERT