Actualizaciones de seguridad de Microsoft de mayo

El segundo martes de cada mes es la fecha elegida por Microsoft para lanzar sus actualizaciones de seguridad, así que si usas Windows y tienes habilitadas las actualizaciones automáticas del sistema seguramente ya habrás notado como el equipo se distrae un tiempo instalando actualizaciones. Después de varios meses bastante tranquilos, esta vez el número de vulnerabilidades descubiertas se ha disparado respecto a otras revisiones hasta el punto que Microsoft ha solucionado 22 vulnerabilidades. Estos agujeros se reparten en varios de sus productos, desde todas las versiones de Windows a Office, pasando por algunas herramientas como Silverlight o .NET Framework.

En total se han corregido 22 agujeros a través de siete boletines de seguridad, tres de ellos con el rango de importancia “crítico” y cuatro con el de “importante”. Esta clasificación se realiza según las probabilidades que tenga el cibercriminal de llevar a cabo un ataque con éxito y el peligro que suponga para el usuario. Los sistemas y productos afectados en detalle son los sistemas operativos Windows XP, Windows Vista y Windows 7, los sistemas para servidores Windows Server 2003 y Windows Server 2008 R2, la suite de ofimática Office (en las versiones 2003, 2007 y 2010) o las plataformas Microsoft .NET Framework y Microsoft Silverlight.

El primer boletín con nivel crítico afecta a todas las versiones de Microsoft Office, concretamente a la aplicación Word de la suite. Corrige una vulnerabilidad que puede permitir la ejecución remota de código si un usuario abre un archivo RTF vulnerado. El peligro de este agujero es que eleva los permisos de usuario al mismo nivel que los de la víctima, de manera que mayor es el peligro para el sistema cuanto mayores sean los permisos del usuario afectado. El segundo boletín también es de naturaleza crítica y corrige hasta 10 vulnerabilidades de Microsoft Office, los sistemas de Windows, .NET Framework y Silverlight.


La más grave de estas vulnerabilidades posibilita la ejecución remota de código. No obstante, para atacar al equipo la víctima tiene que visita una página web maliciosa. El tercero de los boletines y último de naturaleza crítica resuelve dos agujeros presentes en la plataforma .NET Framework dentro de Windows. Permiten al cibercriminal ejecutar código de forma remota, siempre que el usuario visite de nuevo una página web adulterada en un navegador capaz de ejecutar aplicaciones XAML (en principio las versiones más recientes de Internet Explorer, Chrome y Firefox son compatibles).

El cuarto boletín, de naturaleza importante resuelve seis vulnerabilidades que afectan a todas las versiones de Office y que permiten la ejecución remota de código en caso de que el usuario abra un archivo de Office malicioso. El quinto boletín importante corrige un agujero en la herramienta Microsoft Visio Viewer 2010 dentro de Office 2010 que a través de un archivo vulnerado provocaría que el cibercriminal tome el control del equipo. El penúltimo boletín de la misma relevancia afecta a dos agujeros y arregla una vulnerabilidad en el protocolo TCP/IP que podría llevar al hacker a controlar el equipo si inicia sesión en el sistema del afectado. Por último, el séptimo boletín con la marca de importante pone un parche a una vulnerabilidad en Windows que permite la elevación de privilegios, pero que para aprovecharse necesita de unas credenciales de inicio de sesión válidas.