Este parche elimina una vulnerabilidad de seguridad en un componente que se incluye con Microsoft Office 2000, Windows 2000 y Windows Me. La vulnerabilidad podría, en determinadas circunstancias, permitir que un usuario malintencionado obtener las credenciales de inicio de sesión criptográficamente protegidas de otro usuario al solicitar un documento de Office desde un servidor Web.
La Web Extender Client (WEC) es un componente que se incluye como parte de Office 2000, Windows 2000 y Windows Me. WEC permite IE para ver y publicar archivos a través de carpetas Web, de forma similar a la visualización y la adición de archivos de un directorio a través del Explorador de Windows. Debido a un error de implementación, WEC no respeta la configuración de seguridad de IE con respecto a cuándo se realizará la autenticación NTLM. En cambio, el CME realizará la autenticación NTLM con cualquier servidor que lo solicite. Si un usuario establece una sesión con el sitio web de un usuario malicioso, ya sea navegando por el sitio o abriendo un correo HTML que inició una sesión con ella, una aplicación en el sitio podría capturar credenciales NTLM del usuario. El usuario malintencionado podría utilizar una fuerza bruta ataque en línea para obtener la contraseña o, con herramientas especializadas, podría presentar una variante de estas credenciales en un intento de acceder a los recursos protegidos.
La vulnerabilidad sólo proporcionaría al usuario malicioso con el credenciales de autenticación NTLM de otro usuario criptográficamente protegido. No sería, por sí mismo, permitir a un usuario malicioso para hacerse con el control de la computadora de otro usuario o para obtener acceso a los recursos a los que ese usuario se autorizó el acceso. Con el fin de aprovechar las credenciales NTLM (o una contraseña posteriormente agrietada), el usuario malintencionado tendría que ser capaz de iniciar una sesión de forma remota al sistema de destino. Sin embargo, las mejores prácticas dictan que los servicios de inicio de sesión remoto pueden bloquear en dispositivos fronterizos, y si se siguen estas prácticas, se impida que un atacante con las credenciales para iniciar sesión en el sistema de destino.
Preguntas más frecuentes acerca de esta vulnerabilidad se puede encontrar aquí
Requisitos .
Windows Me, Office 2000 no se instala
Comentarios que no se encuentran