Boletín de seguridad de Microsoft MS16-029: importante
Actualización de seguridad de Microsoft Office para abordar la ejecución remota de código (3141806)
Publicado: 8 de marzo de 2016 | Actualizado: 16 de marzo de 2016
Versión: 2.0
Resumen ejecutivo
Esta actualización de seguridad resuelve vulnerabilidades en Microsoft Office. La más grave de las vulnerabilidades podría permitir la ejecución remota de código si un usuario abre un archivo de Microsoft Office especialmente diseñado. Un atacante que aprovechara correctamente las vulnerabilidades podría ejecutar código arbitrario en el contexto del usuario actual. Los clientes cuyas cuentas están configuradas para tener menos derechos de usuario en el sistema podrían verse menos afectados que los que operan con derechos de usuario administrativos.
Para obtener más información, consulte la sección Clasificación de gravedad de vulnerabilidad y software afectado.
La actualización de seguridad aborda las vulnerabilidades por:
- Corrección del modo en que Office controla los objetos en la memoria
- Proporcionar un binario firmado válidamente
Para obtener más información sobre las vulnerabilidades, consulte la sección Información de vulnerabilidades.
Para obtener más información sobre esta actualización, consulte el artículo de Microsoft Knowledge Base 3141806.
Clasificaciones de gravedad de software y vulnerabilidad afectadas
Las siguientes versiones o ediciones de software se ven afectadas. Las versiones o ediciones que no aparecen en la lista son anteriores a su ciclo de vida de soporte técnico o no se ven afectadas. Para determinar el ciclo de vida de soporte técnico de la versión o edición de software, consulte ciclo de vida de Soporte técnico de Microsoft.
Las siguientes clasificaciones de gravedad asumen el posible impacto máximo de la vulnerabilidad. Para obtener información sobre la probabilidad, en un plazo de 30 días a partir de la publicación de este boletín de seguridad, de la vulnerabilidad en relación con su clasificación de gravedad y su impacto en la seguridad, consulte el Índice de vulnerabilidades en el resumen del boletín de marzo.
Microsoft Office Software
| Software afectado | Vulnerabilidad de daños en la memoria de Microsoft Office: CVE-2016-0021 | Vulnerabilidad de omisión de características de seguridad de Microsoft Office: CVE-2016-0057 | Vulnerabilidad de daños en la memoria de Microsoft Office: CVE-2016-0134 | Novedades reemplazado* |
|---|---|---|---|---|
| Microsoft Office 2007 | ||||
| Microsoft Office 2007 Service Pack 3 (2956110) | No aplicable | Omisión importante de características de seguridad | No aplicable | 2920795 en MS15-013 |
| Microsoft InfoPath 2007 Service Pack 3 (3114426) | Importante ejecución remota de código | No aplicable | No aplicable | 2687406 en MS15-116 |
| Microsoft Word 2007 Service Pack 3 (3114901) | No aplicable | No aplicable | Importante ejecución remota de código | 3114748 en MS16-015 |
| Microsoft Office 2010 | ||||
| Microsoft Office 2010 Service Pack 2 (ediciones de 32 bits) (2956063) | No aplicable | Omisión importante de características de seguridad | No aplicable | 2920748 en MS15-013 |
| Microsoft Office 2010 Service Pack 2 (ediciones de 32 bits) (3114873) | No aplicable | No aplicable | Importante ejecución remota de código | 3114752 en MS16-015 |
| Microsoft Office 2010 Service Pack 2 (ediciones de 64 bits) (3114873) | No aplicable | No aplicable | Importante ejecución remota de código | 3114752 en MS16-015 |
| Microsoft InfoPath 2010 Service Pack 2 (ediciones de 32 bits) (3114414) | Importante ejecución remota de código | No aplicable | No aplicable | 2878230 en MS15-013 |
| Microsoft InfoPath 2010 Service Pack 2 (ediciones de 64 bits) (3114414) | Importante ejecución remota de código | No aplicable | No aplicable | 2878230 en MS15-013 |
| Microsoft Word 2010 Service Pack 2 (ediciones de 32 bits) (3114878) | No aplicable | No aplicable | Importante ejecución remota de código | 3114755 en MS16-015 |
| Microsoft Word 2010 Service Pack 2 (ediciones de 64 bits) (3114878) | No aplicable | No aplicable | Importante ejecución remota de código | 3114755 en MS16-015 |
| Microsoft Office 2013 | ||||
| Microsoft Office 2013 Service Pack 1 (ediciones de 32 bits) (3039746) | No aplicable | Omisión importante de características de seguridad | No aplicable | 2910941 en MS15-013 |
| Microsoft InfoPath 2013 Service Pack 1 (ediciones de 32 bits) (3114833) | Importante ejecución remota de código | No aplicable | No aplicable | 3054793 en MS15-116 |
| Microsoft InfoPath 2013 Service Pack 1 (ediciones de 64 bits) (3114833) | Importante ejecución remota de código | No aplicable | No aplicable | 3054793 en MS15-116 |
| Microsoft Word 2013 Service Pack 1 (ediciones de 32 bits) (3114824) | No aplicable | No aplicable | Importante ejecución remota de código | 3114724 en MS16-015 |
| Microsoft Word 2013 Service Pack 1 (ediciones de 64 bits) (3114824) | No aplicable | No aplicable | Importante ejecución remota de código | 3114724 en MS16-015 |
| Microsoft Office 2013 RT | ||||
| Microsoft Word 2013 RT Service Pack 1 (3114824)[1] | No aplicable | No aplicable | Importante ejecución remota de código | 3114724 en MS16-015 |
| Microsoft Office 2016 | ||||
| Microsoft Office 2016 (edición de 32 bits) (3114690) | No aplicable | Omisión importante de características de seguridad | No aplicable | None |
| Microsoft Word 2016 (edición de 32 bits) (3114855) | No aplicable | No aplicable | Importante ejecución remota de código | 3114702 en MS16-015 |
| Microsoft Word 2016 (edición de 64 bits) (3114855) | No aplicable | No aplicable | Importante ejecución remota de código | 3114702 en MS16-015 |
| Microsoft Office para Mac 2011 | ||||
| Microsoft Word para Mac 2011 (3138328)[2] | No aplicable | No aplicable | Importante ejecución remota de código | 3137721 en MS16-015 |
| Microsoft Office 2016 para Mac | ||||
| Microsoft Word 2016 para Mac (3138327)[2] | No aplicable | No aplicable | Importante ejecución remota de código | 3134241 en MS16-015 |
| Otro software de Office | ||||
| Microsoft Office Compatibility Pack Service Pack 3 (3114900) | No aplicable | No aplicable | Importante ejecución remota de código | 3114548 en MS16-015 |
| Microsoft Word Viewer (3114812) | No aplicable | No aplicable | Importante ejecución remota de código | 3114773 en MS16-015 |
[1]Esta actualización está disponible a través de Windows Update.
[2]A partir del 16 de marzo de 2016, la actualización de 3138327 está disponible para Microsoft Office 2016 para Mac y la actualización de 3138328 está disponible para Microsoft Office Mac 2011. Tenga en cuenta que la actualización 3138327 de Microsoft Outlook 2016 para Mac no se publicó el 16 de marzo. Esta actualización se publicará tan pronto como esté disponible y los usuarios recibirán una notificación a través de una revisión del boletín. Para obtener más información, consulte El artículo de Microsoft Knowledge Base 3138327 y el artículo de Microsoft Knowledge Base 3138328.
*La columna Novedades Reemplazada muestra solo la actualización más reciente en una cadena de actualizaciones reemplazadas. Para obtener una lista completa de las actualizaciones reemplazadas, vaya al catálogo de Microsoft Update, busque el número de KB de actualización y, a continuación, vea los detalles de actualización (la información reemplazada de actualizaciones se encuentra en la pestaña Detalles del paquete).
Servicios de Microsoft Office y Web Apps
| Software afectado | Vulnerabilidad de daños en la memoria de Microsoft Office: CVE-2016-0134 | Novedades reemplazado* |
|---|---|---|
| Microsoft SharePoint Server 2010 | ||
| Word Automation Services en Microsoft SharePoint Server 2010 Service Pack 2 (3114866) | Importante ejecución remota de código | 3085511 en MS15-116 |
| Microsoft SharePoint Server 2013 | ||
| Word Automation Services en Microsoft SharePoint Server 2013 Service Pack 1 (3114814) | Importante ejecución remota de código | 3114481 en MS16-015 |
| Microsoft Office Web Apps 2010 | ||
| Microsoft Office Web Apps 2010 Service Pack 2 (3114880) | Importante ejecución remota de código | 3114407 en MS16-015 |
| Microsoft Office Web Apps 2013 | ||
| Microsoft Web Apps Server 2013 Service Pack 1 (3114821) | Importante ejecución remota de código | 3114338 en MS16-015 |
*La columna Novedades Reemplazada muestra solo la actualización más reciente en una cadena de actualizaciones reemplazadas. Para obtener una lista completa de las actualizaciones reemplazadas, vaya al catálogo de Microsoft Update, busque el número de KB de actualización y, a continuación, vea los detalles de actualización (la información reemplazada de actualizaciones se encuentra en la pestaña Detalles del paquete).
Preguntas más frecuentes sobre la actualización
¿Esta actualización contiene cambios adicionales relacionados con la seguridad en la funcionalidad?
Sí. Además de las actualizaciones de seguridad que abordan las vulnerabilidades descritas en este boletín, Microsoft publica las siguientes actualizaciones detalladas de defensa para comprobar que la activación de datos adjuntos de email-packager-attachments cumple con la directiva de seguridad:
| Software afectado | Novedades reemplazado |
|---|---|
| Microsoft Outlook 2007 Service Pack 3\ (2880510) | 2825644 en MS13-094 |
| Microsoft Outlook 2010 Service Pack 2 (ediciones de 32 bits)\ (3114883) | 2837597 en MS13-094 |
| Microsoft Outlook 2010 Service Pack 2 (ediciones de 64 bits)\ (3114883) | 2837597 en MS13-094 |
| Microsoft Outlook 2013 Service Pack 1 (ediciones de 32 bits)\ (3114829) | 2837618 en MS13-094 |
| Microsoft Outlook 2013 Service Pack 1 (ediciones de 64 bits)\ (3114829) | 2837618 en MS13-094 |
| Microsoft Outlook 2013 RT Service Pack 1[1]\ (3114829) | 2837618 en MS13-094 |
| Microsoft Outlook 2016 (edición de 32 bits)\ (3114861) | None |
| Microsoft Outlook 2016 (edición de 64 bits)\ (3114861) | None |
[1]Esta actualización está disponible a través de Windows Update.
¿Hay alguna solución alternativa para la actualización en profundidad de defensa?
Sí. Las siguientes soluciones alternativas pueden resultar útiles en su situación:
Deshabilitar la función Paquete OLE en Outlook
Nota El uso incorrecto del Editor del Registro puede causar problemas graves que pueden requerir que vuelva a instalar el sistema operativo. Microsoft no puede garantizar que puedan solucionarse los problemas derivados del uso incorrecto del Editor del Registro. Use el Editor del Registro bajo su propia responsabilidad. Para obtener información sobre cómo editar el Registro, vea el tema de ayuda "Cambiar claves y valores" en el Editor del Registro (Regedit.exe) o vea los temas de ayuda "Agregar y eliminar información en el Registro" y "Editar datos del Registro" en Regedt32.exe.
Abra el Editor del Registro.
Busque y, a continuación, haga clic en la siguiente sub clave del Registro:
HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\<office version="version">\Outlook\securityHaga doble clic en el valor DWORD denominado ShowOLEPackageObj, cambie el campo Datos de valor a 0 y, a continuación, haga clic en Aceptar.
Salga del Editor del Registro y reinicie el sistema.
Impacto de la solución alternativa. Los objetos del empaquetador en los correos electrónicos no se mostrarán.
Cómo deshacer la solución alternativa.
Abra el Editor del Registro.
Busque y, a continuación, haga clic en la siguiente sub clave del Registro:
HKEY_CURRENT_USER\Software\Policies\Microsoft\Office\</office><office version="version">\Outlook\securityHaga doble clic en el valor DWORD denominado ShowOLEPackageObj, cambie el campo Datos de valor a 1 y, a continuación, haga clic en Aceptar.
Salga del Editor del Registro y reinicie el sistema.
Hay varios paquetes de actualización disponibles para algunos de los software afectados. ¿Es necesario instalar todas las actualizaciones enumeradas en la tabla Software afectado para el software?
Sí. Los clientes deben aplicar todas las actualizaciones que se ofrecen para el software instalado en sus sistemas.
Tengo Instalado Microsoft Word 2010. ¿Por qué no se me ofrece la actualización de 3114873?
La actualización 3114873 solo se aplica a los sistemas que ejecutan configuraciones específicas de Microsoft Office 2010. Algunas configuraciones no se ofrecerán a la actualización.
Estoy ofreciendo esta actualización para el software que no se indica específicamente como afectado en la tabla Clasificación de gravedad de vulnerabilidad y software afectado. ¿Por qué se me ofrece esta actualización?
Cuando las actualizaciones abordan el código vulnerable que existe en un componente que se comparte entre varios productos de Microsoft Office o que se comparten entre varias versiones del mismo producto de Microsoft Office, la actualización se considera aplicable a todos los productos y versiones admitidos que contienen el componente vulnerable.
Por ejemplo, cuando una actualización se aplica a los productos de Microsoft Office 2007, solo Microsoft Office 2007 puede aparecer específicamente en la tabla Software afectado. Sin embargo, la actualización podría aplicarse a Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibility Pack, Microsoft Excel Viewer o cualquier otro producto de Microsoft Office 2007 que no aparezca específicamente en la tabla Software afectado.
Por ejemplo, cuando una actualización se aplica a los productos de Microsoft Office 2010, solo Microsoft Office 2010 puede aparecer específicamente en la tabla Software afectado. Sin embargo, la actualización podría aplicarse a Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Microsoft Visio Viewer o cualquier otro producto de Microsoft Office 2010 que no aparezca específicamente en la tabla Software afectado.
Por ejemplo, cuando una actualización se aplica a los productos de Microsoft Office 2013, solo Microsoft Office 2013 puede aparecer específicamente en la tabla Software afectado. Sin embargo, la actualización podría aplicarse a Microsoft Word 2013, Microsoft Excel 2013, Microsoft Visio 2013 o cualquier otro producto de Microsoft Office 2013 que no aparezca específicamente en la tabla Software afectado.
Información de vulnerabilidad
Varias vulnerabilidades de daños en la memoria de Microsoft Office
Existen varias vulnerabilidades de ejecución remota de código en el software de Microsoft Office cuando el software de Office no puede controlar correctamente los objetos en la memoria. Un atacante que aprovechara correctamente las vulnerabilidades podría ejecutar código arbitrario en el contexto del usuario actual. Si este tiene la sesión iniciada con derechos de usuario administrador, el atacante podría tomar el control del sistema afectado. El atacante, a continuación, podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas con derechos de usuario completos. Los usuarios con cuentas configuradas para tener menos derechos de usuario en el sistema podrían tener un impacto menor que los usuarios que operan con derechos de usuario administrativos.
La explotación de las vulnerabilidades requiere que un usuario abra un archivo especialmente diseñado con una versión afectada del software de Microsoft Office. Tenga en cuenta que el panel de vista previa no es un vector de ataque para estas vulnerabilidades. En un escenario de ataque de correo electrónico, un atacante podría aprovechar las vulnerabilidades enviando el archivo especialmente diseñado al usuario y convenciendo al usuario de abrir el archivo. En un escenario de ataque basado en web, un atacante podría hospedar un sitio web (o aprovechar un sitio web en peligro que acepte o hospede contenido proporcionado por el usuario) que contenga un archivo especialmente diseñado para aprovechar las vulnerabilidades. Un atacante no tendría forma de forzar a los usuarios a visitar el sitio web. En su lugar, un atacante tendría que convencer a los usuarios de hacer clic en un vínculo, normalmente a través de una invitación en un correo electrónico o mensaje de Instant Messenger y, a continuación, convencerlos para abrir el archivo especialmente diseñado.
La actualización de seguridad aborda las vulnerabilidades mediante la corrección de cómo Office controla los objetos en la memoria.
Las tablas siguientes contienen vínculos a la entrada estándar para cada vulnerabilidad de la lista Vulnerabilidades y exposiciones comunes:
| Título de vulnerabilidad | Número cve | Divulgado públicamente | Explotados |
|---|---|---|---|
| Vulnerabilidad de daños en la memoria de Microsoft Office | No | No | |
| Vulnerabilidad de daños en la memoria de Microsoft Office | No | No |
Factores de mitigación
Microsoft no ha identificado ningún factor de mitigación para esta vulnerabilidad.
Soluciones alternativas
Microsoft no ha identificado ninguna solución alternativa para estas vulnerabilidades.
Vulnerabilidad de omisión de características de seguridad de Microsoft Office: CVE-2016-0057
Existe una vulnerabilidad de omisión de características de seguridad en el software de Microsoft Office debido a un binario firmado de forma no válida. Un atacante que aprovechara correctamente la vulnerabilidad podría usar un binario configurado de forma similar para hospedar código malintencionado. A continuación, un defender no podría confiar en una firma binaria válida para diferenciar entre un bien conocido y un binario malintencionado.
Para aprovechar correctamente esta vulnerabilidad, un atacante tendría que tener acceso de escritura a la ubicación de destino que contiene el binario firmado de forma no válida. Después, el atacante podría sobrescribir el archivo original con su propio archivo malintencionado y esperar a que una aplicación, o usuario, desencadene el binario malintencionado.
La actualización de seguridad soluciona la vulnerabilidad proporcionando un binario firmado válidamente.
Las tablas siguientes contienen vínculos a la entrada estándar para cada vulnerabilidad de la lista Vulnerabilidades y exposiciones comunes:
| Título de vulnerabilidad | Número cve | Divulgado públicamente | Explotados |
|---|---|---|---|
| Vulnerabilidad de omisión de características de seguridad de Microsoft Office | CVE-2016-0057 | No | No |
Factores de mitigación
Microsoft no ha identificado ningún factor de mitigación para esta vulnerabilidad.
Soluciones alternativas
Microsoft no ha identificado ninguna solución alternativa para esta vulnerabilidad.
Implementación de actualizaciones de seguridad
Para obtener información sobre la implementación de actualizaciones de seguridad, consulte el artículo de Microsoft Knowledge Base al que se hace referencia en el resumen ejecutivo.
Agradecimientos
Microsoft reconoce los esfuerzos de los miembros de la comunidad de seguridad que nos ayudan a proteger a los clientes a través de la divulgación coordinada de vulnerabilidades. Consulte Confirmaciones para obtener más información.
Declinación de responsabilidades
La información proporcionada en Microsoft Knowledge Base se proporciona "tal cual" sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, ya sea expresas o implícitas, incluidas las garantías de comerciabilidad y idoneidad para un propósito determinado. En ningún caso, Microsoft Corporation o sus proveedores serán responsables de cualquier daño, incluyendo daños directos, indirectos, incidentales, consecuentes, pérdida de beneficios empresariales o daños especiales, incluso si Microsoft Corporation o sus proveedores han sido informados de la posibilidad de tales daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, por lo que es posible que no se aplique la limitación anterior.
Revisiones
- V1.0 (8 de marzo de 2016): Boletín publicado.
- V2.0 (16 de marzo de 2016): el boletín revisado para anunciar que la actualización de 3138327 está disponible para Microsoft Office 2016 para Mac y la actualización de 3138328 está disponible para Microsoft Office Mac 2011. Tenga en cuenta que la actualización 3138327 de Microsoft Outlook 2016 para Mac no se publicó el 16 de marzo. Esta actualización se publicará tan pronto como esté disponible y los usuarios recibirán una notificación a través de una revisión del boletín. Para obtener más información, consulte El artículo de Microsoft Knowledge Base 3138327 y el artículo de Microsoft Knowledge Base 3138328.
Página generada 2016-03-15 17:27-07:00.