URGENTE: Nuevo Parche de Microsoft fuera del ciclo habitual KB-2887505 para versiones de 32 bits del navegador

Fuera de su ciclo habitual de actualizaciones de los segundos martes

de cada mes, Microsoft acaba de publicar un boletín de seguridad para
informar de una grave vulnerabilidad que se está explotando de forma
activa y afecta a su navegador Internet Explorer y que puede permitir
la ejecución remota de código arbitrario.

Aunque según Microsoft solo hay informes de que se esté explotando
directamente sobre las versiones 8 y 9 del navegador, el problema afecta
a todas las versiones de Internet Explorer, desde la 6 a la 11. Las
únicas plataformas Windows libres del problema son los sistemas
servidor, que incluyen IE en modo restringido por defecto. Si se ha
desactivado el modo restringido también puede ser vulnerable.

El problema, con CVE-2013-3893, podría permitir la ejecución remota
de código si un usuario accede a una web específicamente creada. La
vulnerabilidad reside en el acceso por Internet Explorer a objetos en
memoria que han sido eliminados o incorrectamente asignados por el motor
de representación HTML (mshtml.dll) de IE. El exploit detectado por
Microsoft está implementado totalmente en Javascript (no depende de
Java, Flash, etc.) pero sí depende de una DLL de Office que no fue
compilada con ASLR habilitado (Address Space Layout Randomization).
El propósito de esta dll en el contexto del exploit es evitar ASLR
mediante código ejecutable en una dirección en memoria conocida.

Microsoft ha publicado un parche temporal, como “Fix it” “CVE-2013-3893
MSHTML Shim Workaround” si bien esta solución solo sirve para versiones
32-bit del navegador.
http://support.microsoft.com/kb/2887505
Este parche no pretende ser un sustituto de la actualización de
seguridad, que seguramente se publicará posteriormente a través
de un boletín en el ciclo habitual de actualizaciones.

Para usuarios avanzados y administradores de sistemas también se
recomienda el uso de EMET (Enhanced Mitigation Experience Toolkit o kit
de herramientas de experiencia de mitigación mejorada) para mitigar la
explotación de la vulnerabilidad mediante la inclusión de capas de
protección adicionales. EMET 3.0 y EMET 4.0 tienen soporte oficial de
Microsoft. EMET es un programa de Microsoft gratuito, (solo disponible
en lenguaje ingles) sencillo de manejar y de gran utilidad. En el aviso
de seguridad de Microsoft se explican detalladamente los pasos para su
adecuada configuración.
http://technet.microsoft.com/en-us/security/advisory/2887505

 Fuente