Microsoft ha implementado actualizaciones de Patch Tuesday para abordar múltiples vulnerabilidades de seguridad en Windows y otro software, incluida una falla explotada activamente que se está abusando para entregar cargas útiles de malware Emotet, TrickBot o Bazaloader.
El último lanzamiento mensual de diciembre corrige un total de 67 fallas, lo que eleva el número total de errores parcheados por la compañía este año a 887, según Zero Day Initiative . Siete de las 67 fallas están calificadas como críticas y 60 como importantes en gravedad, y cinco de los problemas se conocen públicamente en el momento de la publicación. Vale la pena señalar que esto se suma a las 21 fallas resueltas en el navegador Microsoft Edge basado en Chromium.
El más crítico del lote es CVE-2021-43890 (puntaje CVSS: 7.1), una vulnerabilidad de suplantación de identidad del instalador de Windows AppX que, según Microsoft, podría explotarse para lograr la ejecución de código arbitrario. La clasificación de gravedad más baja indica el hecho de que la ejecución del código depende del nivel de usuario que haya iniciado sesión, lo que significa que «los usuarios cuyas cuentas están configuradas para tener menos derechos de usuario en el sistema podrían verse menos afectados que los usuarios que operan con derechos de usuario administrativos».
El gigante tecnológico con sede en Redmond señaló que un adversario podría aprovechar la falla creando un archivo adjunto malicioso que luego se usa como parte de una campaña de phishing para engañar a los destinatarios para que abran el archivo adjunto del correo electrónico. A los investigadores de seguridad de Sophos, Andrew Brandt, así como a Rick Cole y Nick Carr del Centro de Inteligencia de Amenazas de Microsoft (MSTIC), se les ha atribuido el mérito de informar sobre la vulnerabilidad.
«Microsoft está al tanto de los ataques que intentan explotar esta vulnerabilidad mediante el uso de paquetes especialmente diseñados que incluyen la familia de malware conocida como Emotet / Trickbot / Bazaloader», agregó la compañía. El desarrollo se produce cuando las campañas de malware Emotet están experimentando un aumento en la actividad después de una pausa de más de 10 meses luego de un esfuerzo coordinado de aplicación de la ley para interrumpir el alcance de la botnet.
Otras fallas que se conocen públicamente se encuentran a continuación:
- CVE-2021-43240 (puntuación CVSS: 7,8) – NTFS establece la vulnerabilidad de elevación de privilegios de nombre corto
- CVE-2021-43883 (puntuación CVSS: 7.8) – Vulnerabilidad de elevación de privilegios de Windows Installer
- CVE-2021-41333 (puntuación CVSS: 7.8): vulnerabilidad de elevación de privilegios de la cola de impresión de Windows
- CVE-2021-43893 (puntuación CVSS: 7,5): vulnerabilidad de elevación de privilegios del sistema de archivos de cifrado de Windows (EFS)
- CVE-2021-43880 (puntuación CVSS: 5,5): vulnerabilidad de elevación de privilegios en la gestión de dispositivos de Windows Mobile
El parche de diciembre también incluye soluciones para 10 fallas de ejecución de código remoto en Defender para IoT, además de errores críticos que afectan al servidor iSNS ( CVE-2021-43215 ), adaptador de pantalla inalámbrico 4K ( CVE-2021-43899 ), código de Visual Studio WSL Extensión ( CVE-2021-43907 ), aplicación de Office ( CVE-2021-43905 ), Sistema de archivos de cifrado de Windows ( CVE-2021-43217 ), Cliente de escritorio remoto ( CVE-2021-43233 ) y SharePoint Server ( CVE-2021- 42309 ).
