Soluciones de seguridad imprescindibles para IE7, servidores de Microsoft

El lote de parches mensuales de Microsoft corrige un error crítico en Internet Explorer 7 que podría permitir que un sitio web malicioso instale malware en una PC vulnerable, junto con un parche para la diagramación de Visio software. Y las empresas que ejecutan un servidor Microsoft Exchange o SQL querrán aplicar correcciones esenciales de inmediato.

El boletín de Microsoft dice que el código de ataque que se dirige a la falla MS09-002 IE7 "se puede diseñar fácilmente", así que asegúrese de obtener esta vía Actualizacion de Windows. El Internet Storm Center informa que aún no hay ataques conocidos, pero afecta tanto a XP como a Vista. Pero solo IE7, curiosamente, y no versiones anteriores del navegador.

También encontrará una solución para el software de Visio que puede permitir que un atacante ejecute cualquier comando si abre un archivo de Visio pirateado. El programa es popular entre los administradores de redes y servidores que generalmente tienen permisos de gran envergadura en sus redes, por lo que no me sorprendería en absoluto que se produzca un ataque dirigido que persiga este error. Obtenga más información y el parche del boletín MS09-005.

[Lectura adicional: cómo eliminar el malware de su PC con Windows]

Las otras dos correcciones son para servidores: Exchange y servidor SQL. Ha habido un código de explotación para la falla del servidor SQL desde diciembre, según el ISC, por lo que si tiene un servidor SQL públicamente accesible en su empresa (a través de un sitio web) programe una solución de emergencia para evitar una inyección SQL u otro ataque. Obtenga detalles en la página MS09-004.

Haga lo mismo con el servidor Exchange de su empresa, que podría ser asumido por un mensaje TNEF especialmente diseñado que le envíe un atacante. No hay ataques conocidos contra este todavía, de acuerdo con el ISC, pero no esperes a que aparezca uno. Éste es MS09-003.

Actualización: Con respecto a la vulnerabilidad del servidor MS09-004 SQL, Microsoft dice que aunque el defecto puede ser el objetivo después de un ataque exitoso de inyección SQL, el error MS09-004 no es en sí mismo un SQL vulnerabilidad de inyección.