IST Windows: Avisos de seguridad de Microsoft

Cuál es el objetivo de esta alerta?
Esta alerta es para proporcionarle una visión general de los tres nuevos avisos de seguridad que Microsoft publicó el 12 de noviembre de 2013. Además, le proporcionará una descripción general de las revisiones a los dos avisos de seguridad del 12 de noviembre de 2013.
Nota: Además, Microsoft ha publicado ocho nuevos boletines de seguridad el 12 de noviembre de 2013. Debido a que esta es una gran cantidad de información, en un esfuerzo para reducir cualquier confusión, los nuevos boletines de seguridad se examinan por separado en una alerta dedicada a la información del boletín de seguridad.
Nuevos avisos de seguridad

Microsoft publicó tres nuevos avisos de seguridad el 12 de noviembre de 2013. He aquí un resumen de estas nuevas recomendaciones de seguridad:
Aviso de seguridad 2862152
Vulnerabilidad en el acceso directo que podría permitir una derivación de la función de seguridad
Resumen ejecutivo
Microsoft anuncia la disponibilidad de una actualización para todas las versiones compatibles de Windows para corregir una vulnerabilidad en la forma en que DirectAccess autentica las conexiones con el servidor DirectAccess con los clientes de DirectAccess.
Un atacante que explote con éxito la vulnerabilidad podría utilizar un servidor DirectAccess especialmente diseñado para ser un servidor de DirectAccess legítimo y así establecer conexiones con los clientes legítimos de DirectAccess. El sistema controlado por el atacante, que parece ser un servidor legítimo, podría provocar que un sistema de cliente autentique y se conecte automáticamente con el sistema controlado por el atacante, lo que permite interceptar el tráfico de la red del usuario objetivo y potencialmente determinar sus credenciales de dominio cifradas.
Microsoft no está consciente de ataques activos que estén explotando esta vulnerabilidad al momento del lanzamiento de este aviso.
Software afectado

Windows XP
Windows Server 2003
Windows Vista
Windows Server 2008
Windows 7
Windows Server 2008 R2
Windows 8
Windows Server 2012
Windows RT
Windows 8.1
Windows Server 2012 R2
Windows RT 8.1

Acciones recomendadas para los usuarios finales
Microsoft recomienda que los clientes soliciten la actualización inmediatamente utilizando el software de administración de actualizaciones o verificando las actualizaciones utilizando el servicio Microsoft Update.
Acciones recomendadas para los administradores de la empresa
Además de instalar la actualización, gestiones adicionales son necesarias para estar protegidos de la vulnerabilidad descrita en este aviso. Consulte el artículo 2852152 de la base de conocimiento de Microsoft para obtener una orientación detallada.
Para obtener más información:
http://technet.microsoft.com/security/advisory/2862152

Aviso de seguridad 2868725
Actualización para desactivar RC4
Resumen ejecutivo
Microsoft anuncia la disponibilidad de una actualización para resolver las debilidades conocidas en RC4. El uso de RC4 en TLS y SSL podría permitir a un atacante realizar ataques de intermediario y recuperar texto plano de sesiones cifradas.
La actualización es compatible con la eliminación de RC4 como un cifrado disponible en los sistemas afectados mediante las configuraciones de registro. También permite a los desarrolladores sacar RC4 en aplicaciones individuales mediante el uso de la bandera en SCH_USE_STRONG_CRYPTO en la estructura SCHANNEL_CRED. Estas opciones no están habilitadas por defecto.
Software afectado

Windows 7
Windows Server 2008 R2
Windows 8
Windows Server 2012
Windows RT

Nota: Esta actualización no se aplica a Windows 8.1, Windows Server 2012 R2 o Windows RT 8.1, ya que estos sistemas operativos incluyen la funcionalidad para restringir el uso de RC4.
Recomendación
Microsoft recomienda que los clientes descarguen e instalen la actualización de inmediato y, a continuación, prueben la nueva configuración en sus entornos.
Para obtener más información:
http://technet.microsoft.com/security/advisory/2868725

Aviso de seguridad 2880823
Depreciación del Algoritmo de hash SHA-1 para el Programa de certificado raíz de Microsoft
Resumen ejecutivo
Microsoft anuncia un cambio de política para su Programa de certificado raíz. La nueva política ya no permitirá que la autoridades de certificación de raíz emitan los certificados X. 509 utilizando el algoritmo de hash SHA-1 con el objetivo que la firma de SSL y código sea después del 1 de enero de 2016. El uso del algoritmo hash SHA-1 en los certificados digitales podría permitir a un atacante falsificar los contenidos, realizar ataques de phishing o realizar ataques de intermediario.
Recomendación
Microsoft recomienda que las autoridades de certificados ya no firmen nuevos certificados generados mediante el algoritmo de hash SHA-1 y empiecen a migrar a SHA-2. También Microsoft recomienda que los clientes reemplacen sus certificados SHA-1 con certificados SHA-2 en la primera oportunidad.
Para obtener más información:
http://technet.microsoft.com/security/advisory/2880823
Avisos de seguridad VUELTOS A PUBLICAR

Microsoft volvió a publicar un aviso de seguridad el 12 de noviembre de 2013. Esta es una descripción general de este aviso de seguridad que se volvió a publicar:
Aviso de seguridad 2755801
Actualización de vulnerabilidades en Adobe Flash Player en Internet Explorer
Resumen ejecutivo
Microsoft anuncia la disponibilidad de una actualización de Adobe Flash Player en Internet Explorer en todas las ediciones con soporte de Windows 8, Windows Server 2012, Windows RT, Windows 8.1, Windows Server 2012 R2 y Windows RT 8.1. La actualización soluciona las vulnerabilidades en Adobe Flash Player mediante la actualización de las bibliotecas Adobe Flash afectadas contenidas dentro de Internet Explorer 10 e Internet Explorer 11.
Software afectado

Windows 8
Windows Server 2012
Windows RT
Windows 8.1
Windows Server 2012 R2
Windows RT 8.1

Para obtener más información:
http://technet.microsoft.com/security/advisory/2755801

Avisos de seguridad REVISADOS

Microsoft revisó un aviso de seguridad el 12 de noviembre de 2013. Esta es una descripción general de este aviso de seguridad revisado:
Aviso de seguridad 2854544
Actualizaciones para mejorar la criptografía y tratamiento de certificados digitales en Windows
Resumen ejecutivo
Microsoft anuncia la disponibilidad de actualizaciones como parte de sus esfuerzos para mejorar la criptografía y tratamiento de certificados digitales en Windows. Microsoft seguirá anunciando actualizaciones adicionales a través de este aviso, todos destinados a reforzar la infraestructura en Windows de la criptografía y el manejo de certificados en respuesta a la creciente amenaza del entorno.
Actualizaciones relacionadas
Aviso de seguridad 2868725 de Microsoft - Actualización para desactivar RC4
Aviso de seguridad 2880823 de Microsoft - Depreciación del Algoritmo de hash SHA-1 del Programa de certificado raíz de Microsoft
Para obtener más información:
http://technet.microsoft.com/security/advisory/2854544
Recursos adicionales

·        Blog del Centro de respuesta de seguridad de Microsoft (MSRC): http://blogs.technet.com/msrc

·        Blog del Centro de protección contra malware de Microsoft (MMPC): http://blogs.technet.com/mmpc

·        Blog de Investigación en Materia de Seguridad y Defensa (SRD): http://blogs.technet.com/srd

·        Blog del Ciclo de vida de desarrollo de seguridad (SDL): http://blogs.msdn.com/sdl

Con respecto a la consistencia de la información
Nos esforzamos por proporcionarle información precisa en contenidos estáticos (este correo) y dinámicos (basados en la Web). Ocasionalmente se actualiza el contenido de seguridad de Microsoft colocado en la Web para reflejar la información más reciente. Si esto resulta en una inconsistencia entre la información en este documento y la información en los contenidos de seguridad basados en la Web de Microsoft, éstos últimos prevalecerán.
Si tiene alguna pregunta sobre esta alerta, póngase en contacto con su Gerente Técnico de la cuenta.
Gracias,
Microsoft CSS Security Team