Al enviar mensajes de correo electrónico a un servidor Microsoft Exchange es posible asumir el control del sistema. Microsoft advierte sobre una grave vulnerabilidad en todas las versiones de Exchange.Microsoft publicó la víspera parches para dos vulnerabilidad de su producto Exchange Server. Una de las vulnerabilidades corresponde al protocolo MAPI, normalmente usado en redes corporativas internas, y en teoría puede ser explotada para realizar ataques de negación de servicio.
La segunda vulnerabilidad es más grave ya que hace posible asumir el control de un servidor Exchange sencillamente enviando a este un correo electrónico especialmente formateado. La vulnerabilidad afecta a todas las versiones de Exchange, desde Exchange Server 2000 hasta la más reciente Exchange Server 2007.
La vulnerabilidad se relaciona con las denominadas notificaciones TNEF (Transport Neutral Encapsulation), que normalmente consisten de correo electrónico corriente con archivos anexos, enviados desde Outlook. La vulnerabilidad implica que un correo TNEF maligno puede inducir a Exchange a ejecutar código en el servidor, con los mismos privilegios que el programa principal de Exchange. Esto implica que un hacker puede asumir, con relativa facilidad, el control de un servidor Exchange simplemente enviando un correo electrónico a una de las direcciones del propio sistema.
Las dos vulnerabilidades ya han sido corregidas mediante sendos parches de Microsoft. Sin embargo, las vulnerabilidades corrigen exclusivamente los paquetes de servicio más recientes para cada versión específica de Exchage; es decir, Microsoft Exchange 2000 Server Service Pack 3, Microsoft Exchange Server 2003 Service Pack 2 y Microsoft Exchange Server 2007 Service Pack 1. En los hechos, lo anterior implica que los usuarios se ven obligados a actualizar al paquete de servicio más reciente para poder instalar el parche, y de esa forma solucionar la vulnerabilidad del programa.
Numerosas empresas suelen aplazar la instalación de nuevos paquetes de servicio, hasta que éstos, y su compatibilidad con aplicaciones existentes haya sido acuciosamente probada. Sin embargo, en esta oportunidad hay sobradas razones para instalar los paquetes de servicio y los parches inmediatamente.
