Microsoft publicó el 29 de diciembre el boletín de seguridad MS11-100 que corrige 4 vulnerabilidades que afectan a .NET Framework en todas sus versiones.
Detalles de las vulnerabilidades ordenadas por sus identificadores CVE:
- CVE-2011-3414: Se trata de la vulnerabilidad en relación con la forma en que ASP.NET Framework trata peticiones específicamente construidas, que puede causar colisiones hash, y con ello un incremento del consumo de los recursos del sistema. Esto podría ser utilizado por un atacante remoto para provocar condiciones de denegación de servicio.
- CVE-2011-3415: Existe un fallo en la comprobación de las direcciones URL de retorno durante el proceso de autenticación de formularios en .NET Framework y un atacante remoto podía aprovechar esta vulnerabilidad para revelar información sensible al redirigir a un usuario a un sitio web diferente sin el conocimiento de este, a través de un enlace especialmente manipulado.
- CVE-2011-3416: Un fallo en la forma en que .NET Framework autentica a los usuarios podría ser utilizado por un atacante remoto para elevar privilegios a través de una petición web especialmente manipulada.
- CVE-2011-3417: Una última vulnerabilidad en la forma en que ASP.NET maneja el contenido almacenado en caché cuando se utiliza la autenticación de formularios con pérdida de deslizamiento activada y que podría ser aprovechado por un atacante remoto para elevar privilegios a través de un enlace especialmente manipulado.
Recomendaciones:
- Dada la gravedad de las vulnerabilidades se recomienda la actualización de los sistemas con la mayor brevedad posible.
- Los parches que corrigen las vulnerabilidades anteriores pueden descargarse desde el propio boletín de Microsoft, o a través de Windows Update.
Más información:
- Microsoft Security Bulletin MS11-100 – Critical
- Vulnerabilities in .NET Framework Could Allow Elevation of Privilege (2638420)
- http://technet.microsoft.com/en-us/security/bulletin/ms11-100
Fuente: Hispasec
