| |
VSantivirus No. 2111 Año 10, jueves 20 de abril de 2006
Microsoft y las confusiones de un parche conflictivo
http://www.vsantivirus.com/20-04-06.htm
Por Angela Ruiz
angela@videosoft.net.uy
El pasado 11 de abril, Microsoft publicó un parche acumulativo para Internet Explorer (MS06-013). Además de cubrir 10 vulnerabilidades, algunas críticas y ampliamente explotadas hasta ese momento, agregó un cambio en la funcionalidad de los ActiveX.
Esto modifica la manera en que los controles ActiveX son manejados por el explorador de Internet de Microsoft, y aunque la compañía no lo menciona directamente, el cambio es parte de una estrategia obligada, debido a un juicio perdido por un problema de patentes (y relacionado con el uso de la etiqueta <OBJECT>).
Por ejemplo, en un menú hecho en Flash, puede salir un texto con la leyenda "Haga clic para activar y usar este control", cuando ponemos el cursor sobre una opción. Después de ello ya no volverá a preguntar, hasta que volvamos a cargar dicha página.
Esta reestructura ha ocasionado algunos problemas, como los explicados en el artículo "Microsoft informa de problemas con últimos parches",
http://www.vsantivirus.com/ev-ms06-013-ms06-015.htm
Pero además de las dificultades puntuales allí indicadas, existen cambios en la funcionalidad con otros plugins como los de QuickTime, Macromedia, e incluso Java (dificultades para ver contenido multimedia o para acceder a las funcionalidades de determinados sitios).
En respuesta a algunos de esos problemas, Microsoft publicó una nueva actualización, llamada "Revisión de compatibilidad de componentes ActiveX de Internet Explorer para Mshtml.dll". Este parche restaura el comportamiento de la actualización de ActiveX para IE incluida en la actualización de seguridad de abril (KB912812).
Según explica Microsoft, "esta revisión está dirigida a los clientes que tengan problemas de compatibilidad y necesiten más tiempo para probar o actualizar sitios Web y programas que se vean afectados por la actualización de Active X para IE. La revisión es temporal y sólo se aplica a KB912812".
Puede ser aplicada desde los enlaces que se dan al final de este artículo. Sin embargo, es bueno hacer notar lo que Microsoft también aclara: "Esta revisión de compatibilidad para IE no estará disponible en próximas actualizaciones de seguridad."
Dicho de otra forma, la funcionalidad será definitivamente cambiada en próximas actualizaciones del Internet Explorer.
En conclusión:
1. Es imprescindible instalar el parche MS06-013, ya que resuelve vulnerabilidades críticas, como la que permite la ejecución de código debido a un error en el manejo de un puntero de memoria, durante el proceso de interpretación del método "createTextRange()" aplicado al control de un botón de opciones (radio button). Esta vulnerabilidad, identificada como CVE-2006-1359, todavía es ampliamente utilizada por sitios maliciosos para la descarga y ejecución de troyanos.
2. El parche puede crear algunos problemas de funcionalidad a la hora de interactuar con cierto contenido Web que utilice controles ActiveX y la etiqueta <OBJECT> para automatizarlos.
3. Microsoft publicó una revisión que vuelve a habilitar esta funcionalidad, pero solo temporalmente hasta que una próxima actualización vuelva a deshabilitarla.
Referencias:
Revisión de compatibilidad de componentes ActiveX de Internet Explorer para Mshtml.dll
http://support.microsoft.com/kb/917425/es
Relacionados:
Microsoft informa de problemas con últimos parches
http://www.vsantivirus.com/ev-ms06-013-ms06-015.htm
Problemas en Explorador de Windows después de instalar actualización MS06-015
http://support.microsoft.com/kb/918165
MS06-013: Actualización de seguridad acumulativa para Internet Explorer
http://support.microsoft.com/kb/912812
Actualización de ActiveX para Internet Explorer
http://support.microsoft.com/kb/912945
IE patch breaks Siebel client
ActiveX fix made in response to 2003 court ruling may render Siebel software unusable
http://ww6.infoworld.com/products/print_friendly.jsp?
link=/article/06/04/14/77461_NNiepatch_1.html
Corregida la vulnerabilidad createTextRange (CVE-2006-1359)
http://www.enciclopediavirus.com/noticias/verNoticia.php?id=629
Boletines de seguridad de Microsoft abril 2006
http://www.vsantivirus.com/vulms06-abr.htm
MS06-013 Actualización acumulativa para IE (912812)
http://www.vsantivirus.com/vulms06-013.htm
MS06-015 Vulnerabilidad en Windows Explorer (908531)
http://www.vsantivirus.com/vulms06-015.htm
Más información:
EN LA RED: Quien a hierro mata...
http://www.vsantivirus.com/20m24-10-03.htm
Microsoft deberá modificar IE drásticamente
http://www.vsantivirus.com/dt08-10-03.htm
Internet de tierra de nadie, a tierra de patentes
http://www.vsantivirus.com/lz-patentes.htm
Macromedia prepara a usuarios para cambios en IE
http://www.vsantivirus.com/dt29-10-03.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
