Boletín de seguridad de Microsoft MS15-110: importante
Novedades de seguridad para que Microsoft Office aborde la ejecución remota del código (3096440)
Publicado: 13 de octubre de 2015
Versión: 1.0
Resumen ejecutivo
Esta actualización de seguridad resuelve vulnerabilidades en Microsoft Office. La más grave de las vulnerabilidades podría permitir la ejecución remota de código si un usuario abre un archivo de Microsoft Office especialmente diseñado. Un atacante que aprovechara correctamente las vulnerabilidades podría ejecutar código arbitrario en el contexto del usuario actual. Los clientes cuyas cuentas están configuradas para tener menos derechos de usuario en el sistema podrían verse menos afectados que los que operan con derechos de usuario administrativos.
Esta actualización de seguridad es importante para todas las ediciones compatibles del siguiente software:
- Microsoft Excel 2007, Microsoft Visio 2007
- Microsoft Excel 2010, Microsoft Visio 2010
- Microsoft Excel 2013, Microsoft Excel 2013 RT
- Microsoft Excel 2016
- Microsoft Excel para Mac 2011
- Microsoft Excel 2016 para Mac
- Microsoft Excel Viewer, Paquete de compatibilidad de Microsoft Office
- Servicios de Excel en Microsoft SharePoint Server 2007
- Servicios de Excel en Microsoft SharePoint Server 2010, Microsoft Web App 2010, Microsoft Excel Web App 2010
- Servicios de Excel en Microsoft SharePoint Server 2013, Microsoft Office Web Apps Server 2013
- Microsoft SharePoint Server 2007
- Microsoft SharePoint Server 2010
- Microsoft SharePoint Server 2013, Microsoft SharePoint Foundation 2013
Para obtener más información, consulte la sección Clasificación de gravedad de vulnerabilidad y software afectado.
La actualización de seguridad aborda las vulnerabilidades por:
- Corrección del modo en que Office controla los objetos en la memoria
- Asegurarse de que InfoPath Forms Services de SharePoint controla correctamente las entidades DTD.
- Ayudar a garantizar que Office Web Apps Server sane correctamente las solicitudes web
- Modificar la forma en que SharePoint sanea las solicitudes web
Para obtener más información sobre las vulnerabilidades, consulte la sección Información de vulnerabilidades.
Para obtener más información sobre esta actualización, consulte el artículo de Microsoft Knowledge Base 3096440.
Clasificaciones de gravedad de software y vulnerabilidad afectadas
Las siguientes versiones o ediciones de software se ven afectadas. Las versiones o ediciones que no aparecen en la lista son anteriores a su ciclo de vida de soporte técnico o no se ven afectadas. Para determinar el ciclo de vida de soporte técnico de la versión o edición de software, consulte ciclo de vida de Soporte técnico de Microsoft.
Las siguientes clasificaciones de gravedad asumen el posible impacto máximo de la vulnerabilidad. Para obtener información sobre la probabilidad, en un plazo de 30 días a partir de la publicación de este boletín de seguridad, de la vulnerabilidad en relación con su clasificación de gravedad e impacto en la seguridad, consulte el Índice de vulnerabilidades en el resumen del boletín de octubre.
Microsoft Office Software
| Clasificación de gravedad de vulnerabilidad y impacto máximo en la seguridad por parte del software afectado | ||||
|---|---|---|---|---|
| Software afectado | Vulnerabilidad de daños en la memoria de Microsoft Office: CVE-2015-2555 | Vulnerabilidad de daños en la memoria de Microsoft Office: CVE-2015-2557 | Vulnerabilidad de daños en la memoria de Microsoft Office: CVE-2015-2558 | Novedades reemplazado* |
| Microsoft Office 2007 | ||||
| Microsoft Excel 2007 Service Pack 3 (3085615) | No aplicable | No aplicable | Importanteejecución remota de código | 3085543 en MS15-099 |
| Microsoft Visio 2007 Service Pack 3 (3085542) | No aplicable | Importanteejecución remota de código | No aplicable | 2965280 en MS15-081 |
| Microsoft Office 2010 | ||||
| Microsoft Excel 2010 Service Pack 2 (ediciones de 32 bits) (3085609) | Importanteejecución remota de código | No aplicable | Importanteejecución remota de código | 3085526 en MS15-099 |
| Microsoft Excel 2010 Service Pack 2 (ediciones de 64 bits) (3085609) | Importanteejecución remota de código | No aplicable | Importanteejecución remota de código | 3085526 en MS15-099 |
| Microsoft Visio 2010 Service Pack 2 (ediciones de 32 bits) (3085514) | No aplicable | Importanteejecución remota de código | No aplicable | 3054876 en MS15-081 |
| Microsoft Visio 2010 Service Pack 2 (ediciones de 64 bits) (3085514) | No aplicable | Importanteejecución remota de código | No aplicable | 3054876 en MS15-081 |
| Microsoft Office 2013 | ||||
| Microsoft Excel 2013 Service Pack 1 (ediciones de 32 bits) (3085583) | Importanteejecución remota de código | No aplicable | Importanteejecución remota de código | 3085502 en MS15-099 |
| Microsoft Excel 2013 Service Pack 1 (ediciones de 64 bits) (3085583) | Importanteejecución remota de código | No aplicable | Importanteejecución remota de código | 3085502 en MS15-099 |
| Microsoft Office 2013 RT | ||||
| Microsoft Excel 2013 RT Service Pack 1 (3085583)[1] | Importanteejecución remota de código | No aplicable | Importanteejecución remota de código | 3085502 en MS15-099 |
| Microsoft Office 2016 | ||||
| Microsoft Excel 2016 (edición de 32 bits) (2920693) | Importanteejecución remota de código | No aplicable | Importanteejecución remota de código | None |
| Microsoft Excel 2016 (edición de 64 bits) (2920693) | Importanteejecución remota de código | No aplicable | Importanteejecución remota de código | None |
| Microsoft Office para Mac 2011 | ||||
| Microsoft Excel para Mac 2011 (3097266) | Importanteejecución remota de código | No aplicable | Importanteejecución remota de código | 3088501 en MS15-099 |
| Microsoft Office 2016 para Mac | ||||
| Microsoft Excel 2016 para Mac (3097264) | Importanteejecución remota de código | No aplicable | Importanteejecución remota de código | 3088502 en MS15-099 |
| Otro software de Office | ||||
| Visor de Microsoft Excel (3085619) | No aplicable | No aplicable | Importanteejecución remota de código | 3054995 en MS15-099 |
| Microsoft Office Compatibility Pack Service Pack 3 (3085618) | No aplicable | No aplicable | Importanteejecución remota de código | 3054993 en MS15-099 |
[1]Esta actualización está disponible a través de Windows Update.
*La columna Novedades Reemplazada muestra solo la actualización más reciente en una cadena de actualizaciones reemplazadas. Para obtener una lista completa de las actualizaciones reemplazadas, vaya al catálogo de Microsoft Update, busque el número de KB de actualización y, a continuación, vea los detalles de actualización (la información reemplazada de actualizaciones se encuentra en la pestaña Detalles del paquete).
Servicios de Microsoft Office y Web Apps
| Clasificación de gravedad de vulnerabilidad y impacto máximo en la seguridad por parte del software afectado | ||||
|---|---|---|---|---|
| Software afectado | Vulnerabilidad de daños en la memoria de Microsoft Office: CVE-2015-2555 | Vulnerabilidad de daños en la memoria de Microsoft Office: CVE-2015-2558 | Vulnerabilidad de suplantación de identidad XSS de Microsoft Office Web Apps: CVE-2015-6037 | Novedades reemplazado* |
| Microsoft SharePoint Server 2007 | ||||
| Servicios de Excel en Microsoft SharePoint Server 2007 Service Pack 3 (ediciones de 32 bits) (3054994) | No aplicable | Importanteejecución remota de código | No aplicable | 2837612 en MS15-070 |
| Servicios de Excel en Microsoft SharePoint Server 2007 Service Pack 3 (ediciones de 64 bits) (3054994) | No aplicable | Importanteejecución remota de código | No aplicable | 2837612 en MS15-070 |
| Microsoft SharePoint Server 2010 | ||||
| Servicios de Excel en Microsoft SharePoint Server 2010 Service Pack 2 (3085596) | Importanteejecución remota de código | Importanteejecución remota de código | Suplantación de identidad importante | 3054968 en MS15-070 |
| Microsoft SharePoint Server 2013 | ||||
| Servicios de Excel en Microsoft SharePoint Server 2013 Service Pack 1 (3085568) | Importanteejecución remota de código | Importanteejecución remota de código | Suplantación de identidad importante | 3085483 en MS15-099 |
| Microsoft Office Web Apps 2010 | ||||
| Microsoft Office Web Apps 2010 Service Pack 2 (3085520) | No aplicable | No aplicable | Suplantación de identidad importante | 3054974 en MS15-081 |
| Microsoft Excel Web App 2010 Service Pack 2 (3085595) | No aplicable | No aplicable | Suplantación de identidad importante | 3054838 en MS15-046 |
| Microsoft Office Web Apps 2013 | ||||
| Microsoft Office Web Apps Server 2013 Service Pack 1 (3085571) | No aplicable | No aplicable | Suplantación de identidad importante | 3085487 en MS15-099 |
*La columna Novedades Reemplazada muestra solo la actualización más reciente en una cadena de actualizaciones reemplazadas. Para obtener una lista completa de las actualizaciones reemplazadas, vaya al catálogo de Microsoft Update, busque el número de KB de actualización y, a continuación, vea los detalles de actualización (la información reemplazada de actualizaciones se encuentra en la pestaña Detalles del paquete).
Microsoft Server Software
| Clasificación de gravedad de vulnerabilidad y impacto máximo en la seguridad por parte del software afectado | ||||
|---|---|---|---|---|
| Software afectado | Vulnerabilidad de divulgación de información de Microsoft SharePoint: CVE-2015-2556 | Omisión de características de seguridad de Microsoft SharePoint: CVE-2015-6039 | Vulnerabilidad de suplantación de identidad XSS de Microsoft Office Web Apps: CVE-2015-6037 | Novedades reemplazado* |
| Microsoft SharePoint Server 2007 | ||||
| Microsoft SharePoint Server 2007 Service Pack 3 (ediciones de 32 bits) (2596670) | Divulgación de información importante | No aplicable | No aplicable | None |
| Microsoft SharePoint Server 2007 Service Pack 3 (ediciones de 64 bits) (2596670) | Divulgación de información importante | No aplicable | No aplicable | None |
| Microsoft SharePoint Server 2010 | ||||
| Microsoft SharePoint Server 2010 Service Pack 2 (2553405) | Divulgación de información importante | No aplicable | No aplicable | None |
| Microsoft SharePoint Server 2013 | ||||
| Microsoft SharePoint Server 2013 Service Pack 1 (3085567) | No aplicable | Omisión importantede características de seguridad | No aplicable | 2965219 en MS15-036 |
| Microsoft SharePoint Foundation 2013 Service Pack 1 (3085582) | No aplicable | Omisión importantede características de seguridad | Suplantación de identidad importante | 3085501 en MS15-099 |
*La columna Novedades Reemplazada muestra solo la actualización más reciente en una cadena de actualizaciones reemplazadas. Para obtener una lista completa de las actualizaciones reemplazadas, vaya al catálogo de Microsoft Update, busque el número de KB de actualización y, a continuación, vea los detalles de actualización (la información reemplazada de actualizaciones se encuentra en la pestaña Detalles del paquete).
Preguntas más frecuentes sobre la actualización
¿Esta actualización contiene cambios adicionales relacionados con la seguridad en la funcionalidad?
Sí. Además de los cambios que se enumeran para las vulnerabilidades descritas en este boletín, esta actualización incluye actualizaciones detalladas de defensa para ayudar a que Microsoft Office sea más seguro.
Estoy ofreciendo esta actualización para el software que no se indica específicamente como afectado en la tabla Clasificación de gravedad de vulnerabilidad y software afectado. ¿Por qué se me ofrece esta actualización?
Cuando las actualizaciones abordan el código vulnerable que existe en un componente que se comparte entre varios productos de Microsoft Office o que se comparten entre varias versiones del mismo producto de Microsoft Office, la actualización se considera aplicable a todos los productos y versiones admitidos que contienen el componente vulnerable.
Por ejemplo, cuando una actualización se aplica a los productos de Microsoft Office 2007, solo Microsoft Office 2007 puede aparecer específicamente en la tabla Software afectado. Sin embargo, la actualización podría aplicarse a Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer o cualquier otro producto de Microsoft Office 2007 que no aparezca específicamente en la tabla Software afectado.
Por ejemplo, cuando una actualización se aplica a los productos de Microsoft Office 2010, solo Microsoft Office 2010 puede aparecer específicamente en la tabla Software afectado. Sin embargo, la actualización podría aplicarse a Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer o cualquier otro producto de Microsoft Office 2010 que no aparezca específicamente en la tabla Software afectado.
Por ejemplo, cuando una actualización se aplica a los productos de Microsoft Office 2013, solo Microsoft Office 2013 puede aparecer específicamente en la tabla Software afectado. Sin embargo, la actualización podría aplicarse a Microsoft Word 2013, Microsoft Excel 2013, Microsoft Visio 2013 o cualquier otro producto de Microsoft Office 2013 que no aparezca específicamente en la tabla Software afectado.
Información de vulnerabilidad
Varias vulnerabilidades de daños en la memoria de Microsoft Office
Existen vulnerabilidades de ejecución remota de código en el software de Microsoft Office cuando el software de Office no controla correctamente los objetos en la memoria. Un atacante que aprovechara correctamente estas vulnerabilidades podría ejecutar código arbitrario en el contexto del usuario actual. Si este tiene la sesión iniciada con derechos de usuario administrador, el atacante podría tomar el control del sistema afectado. El atacante, a continuación, podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas con derechos de usuario completos. Los usuarios con cuentas configuradas para tener menos derechos de usuario en el sistema podrían tener un impacto menor que los usuarios que operan con derechos de usuario administrativos.
La explotación de estas vulnerabilidades requiere que un usuario abra un archivo especialmente diseñado con una versión afectada del software de Microsoft Office. En un escenario de ataque de correo electrónico, un atacante podría aprovechar las vulnerabilidades enviando el archivo especialmente diseñado al usuario y convenciendo al usuario de abrir el archivo. En un escenario de ataque basado en web, un atacante podría hospedar un sitio web (o aprovechar un sitio web en peligro que acepte o hospede contenido proporcionado por el usuario) que contenga un archivo especialmente diseñado para aprovechar las vulnerabilidades. Un atacante no tendría forma de forzar a los usuarios a visitar el sitio web. En su lugar, un atacante tendría que convencer a los usuarios de hacer clic en un vínculo, normalmente a través de una invitación en un correo electrónico o mensaje de Instant Messenger y, a continuación, convencerlos para abrir el archivo especialmente diseñado.
La actualización de seguridad aborda las vulnerabilidades mediante la corrección de cómo Office controla los objetos en la memoria.
Las tablas siguientes contienen vínculos a la entrada estándar para cada vulnerabilidad de la lista Vulnerabilidades y exposiciones comunes:
| Título de vulnerabilidad | Número cve | Divulgado públicamente | Explotados |
|---|---|---|---|
| Vulnerabilidad de daños en la memoria de Microsoft Office | CVE-2015-2555 | No | No |
| Vulnerabilidad de daños en la memoria de Microsoft Office | CVE-2015-2557 | No | No |
| Vulnerabilidad de daños en la memoria de Microsoft Office | CVE-2015-2558 | No | No |
Factores de mitigación
Los siguientes factores de mitigación pueden aplicarse en su situación:
- Un usuario debe tener credenciales válidas para el sitio de SharePoint de destino. Tenga en cuenta que esto no es un factor de mitigación si el sitio de SharePoint está configurado para permitir que los usuarios anónimos accedan al sitio. De forma predeterminada, el acceso anónimo no está habilitado.
Soluciones alternativas
Microsoft no ha identificado ninguna solución alternativa para estas vulnerabilidades.
Vulnerabilidad de divulgación de información de Microsoft SharePoint: CVE-2015-2556
Existe una vulnerabilidad de divulgación de información cuando SharePoint InfoPath Forms Services analiza incorrectamente la definición de tipo de documento (DTD) de un archivo XML. Un atacante que aprovechara correctamente la vulnerabilidad podría examinar el contenido de archivos arbitrarios en un servidor de SharePoint. Un atacante debe tener permisos de escritura en un sitio e InfoPath Services debe estar habilitado para aprovechar la vulnerabilidad.
Un atacante podría aprovechar la vulnerabilidad cargando un archivo especialmente diseñado en una página web y, a continuación, enviando una solicitud web especialmente diseñada al servidor de SharePoint. La actualización de seguridad aborda la vulnerabilidad asegurándose de que SharePoint InfoPath Forms Services controla correctamente las entidades DTD.
Microsoft recibió información sobre la vulnerabilidad a través de la divulgación coordinada de vulnerabilidades. En el momento en que se emitió este boletín de seguridad originalmente, Microsoft no estaba consciente de ningún ataque que intente aprovechar esta vulnerabilidad.
Factores de mitigación
Microsoft no ha identificado ningún factor de mitigación para esta vulnerabilidad.
Soluciones alternativas
Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.
Vulnerabilidad de suplantación de identidad XSS de Microsoft Office Web Apps: CVE-2015-6037
Existe una vulnerabilidad de suplantación de identidad cuando un servidor de Office Web Apps no sanea correctamente una solicitud especialmente diseñada. Un atacante autenticado podría aprovechar la vulnerabilidad enviando una solicitud especialmente diseñada a un servidor de Office Web Apps afectado. El atacante que ha aprovechado correctamente esta vulnerabilidad podría realizar ataques de scripting entre sitios en sistemas afectados y ejecutar scripts en el contexto de seguridad del usuario actual. Estos ataques podrían permitir que el atacante lea el contenido que el atacante no tiene autorización para leer, usar la identidad de la víctima para realizar acciones en el sitio de Office Web App en nombre de la víctima, como cambiar permisos, eliminar contenido, robar información confidencial (como cookies del explorador) e insertar contenido malintencionado en el explorador de la víctima.
Para que se aproveche esta vulnerabilidad, un usuario debe hacer clic en una dirección URL especialmente diseñada que lleve al usuario a un sitio de Office Web App de destino. En un escenario de ataque de correo electrónico, un atacante podría aprovechar la vulnerabilidad enviando un mensaje de correo electrónico que contiene la dirección URL especialmente diseñada al usuario del sitio de Office Web App de destino y convencer al usuario de hacer clic en la dirección URL especialmente diseñada. En un escenario de ataque basado en web, un atacante tendría que hospedar un sitio web que contenga una dirección URL especialmente diseñada para el sitio de Office Web App de destino que se usa para intentar aprovechar esta vulnerabilidad. Además, los sitios web y sitios web comprometidos que aceptan o hospedan contenido proporcionado por el usuario podrían contener contenido especialmente diseñado que podría aprovechar la vulnerabilidad. Un atacante no tendría forma de forzar a los usuarios a visitar un sitio web especialmente diseñado. En su lugar, un atacante tendría que convencerlos para visitar el sitio web, normalmente obteniendo que hagan clic en un vínculo en un mensaje instantáneo de mensajería o correo electrónico que los lleve al sitio web del atacante y luego convencerlos para hacer clic en la dirección URL especialmente diseñada.
La actualización de seguridad soluciona la vulnerabilidad al ayudar a garantizar que Office Web Apps Server sane correctamente las solicitudes web. Microsoft recibió información sobre la vulnerabilidad a través de la divulgación coordinada de vulnerabilidades. En el momento en que se emitió este boletín de seguridad originalmente, Microsoft no estaba consciente de ningún ataque que intente aprovechar esta vulnerabilidad.
Factores de mitigación
Microsoft no ha identificado ningún factor de mitigación para esta vulnerabilidad.
Soluciones alternativas
Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.
Vulnerabilidad de omisión de características de seguridad de Microsoft SharePoint: CVE-2015-6039
Existe una vulnerabilidad de omisión de características de seguridad en Microsoft SharePoint. La vulnerabilidad se produce cuando se permite Catálogo de soluciones de Office insertar código JavaScript que persiste en una página de SharePoint, ya que SharePoint no aplica el nivel de permiso adecuado para una aplicación o usuario. Un atacante que aprovechara correctamente esta vulnerabilidad podría realizar ataques de scripting entre sitios persistentes y ejecutar scripts (en el contexto de seguridad del usuario que ha iniciado sesión) con contenido malintencionado que aparece auténtico. Esto podría permitir al atacante robar información confidencial, incluidas las cookies de autenticación y los datos enviados recientemente.
Para aprovechar esta vulnerabilidad, un atacante debe tener la capacidad de actualizar la instancia de Marketplace. El atacante podría agregar código malintencionado a la aplicación de Marketplace que luego se podría insertar en las instancias de SharePoint que consumen. El script malintencionado permitiría al atacante actualizar el código sin tener que pasar por los permisos de nivel de instancia o granja de SharePoint.
La actualización de seguridad aborda la vulnerabilidad modificando el código de la granja o instancia de SharePoint para aplicar el nivel de permiso adecuado para una aplicación o usuario. Esta vulnerabilidad se ha divulgado públicamente. Se le ha asignado el número de vulnerabilidad común y exposición CVE-2015-6039. En el momento en que se emitió este boletín de seguridad originalmente, Microsoft no estaba consciente de ningún ataque que intente aprovechar esta vulnerabilidad.
Factores de mitigación
Los siguientes factores de mitigación pueden aplicarse en su situación:
- Un usuario debe tener los permisos Administrar sitio web y Crear subsitios para agregar una aplicación o complemento para SharePoint. De forma predeterminada, estos permisos solo están disponibles para los usuarios que tienen el nivel de permisos Control total o que están en el grupo Propietarios del sitio. Para obtener más información sobre cómo administrar la seguridad y los permisos de SharePoint, vea Seguridad y permisos (SharePoint 2013) .
Soluciones alternativas
Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.
Implementación de actualizaciones de seguridad
Para obtener información sobre la implementación de actualizaciones de seguridad, consulte el artículo de Microsoft Knowledge Base al que se hace referencia en el resumen ejecutivo.
Agradecimientos
Microsoft reconoce los esfuerzos de los miembros de la comunidad de seguridad que nos ayudan a proteger a los clientes a través de la divulgación coordinada de vulnerabilidades. Consulte Confirmaciones para obtener más información.
Declinación de responsabilidades
La información proporcionada en Microsoft Knowledge Base se proporciona "tal cual" sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, ya sea expresas o implícitas, incluidas las garantías de comerciabilidad y idoneidad para un propósito determinado. En ningún caso, Microsoft Corporation o sus proveedores serán responsables de cualquier daño, incluyendo daños directos, indirectos, incidentales, consecuentes, pérdida de beneficios empresariales o daños especiales, incluso si Microsoft Corporation o sus proveedores han sido informados de la posibilidad de tales daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, por lo que es posible que no se aplique la limitación anterior.
Revisiones
- V1.0 (13 de octubre de 2015): Boletín publicado.
Página generada 2015-10-13 08:33-07:00.