Microsoft

Microsoft lanzó su conjunto final de actualizaciones de Patch Tuesday para 2023, cerrando 33 fallas en su software, lo que lo convierte en uno de los lanzamientos más ligeros de los últimos años.

De las 33 deficiencias, cuatro se consideran críticas y 29 se consideran importantes en cuanto a su gravedad. Las correcciones se suman a 18 fallas que Microsoft solucionó en su navegador Edge basado en Chromium desde el lanzamiento de las actualizaciones del martes de parches para noviembre de 2023 .

Según datos de Zero Day Initiative , el gigante del software ha parcheado más de 900 fallos este año, lo que lo convierte en uno de los años de mayor actividad para los parches de Microsoft. A modo de comparación, Redmond resolvió 917 CVE en 2022.

Si bien ninguna de las vulnerabilidades figura como conocida públicamente o bajo ataque activo en el momento del lanzamiento, algunas de las más notables se enumeran a continuación:

  • CVE-2023-35628 (puntuación CVSS: 8.1): vulnerabilidad de ejecución remota de código en la plataforma MSHTML de Windows
  • CVE-2023-35630 (puntuación CVSS: 8,8): vulnerabilidad de ejecución remota de código de conexión compartida a Internet (ICS)
  • CVE-2023-35636 (puntuación CVSS: 6,5): vulnerabilidad de divulgación de información en Microsoft Outlook
  • CVE-2023-35639 (puntuación CVSS: 8,8): vulnerabilidad de ejecución remota de código del controlador ODBC de Microsoft
  • CVE-2023-35641 (puntuación CVSS: 8,8): vulnerabilidad de ejecución remota de código de conexión compartida a Internet (ICS)
  • CVE-2023-35642 (puntuación CVSS: 6,5): vulnerabilidad de denegación de servicio de conexión compartida a Internet (ICS)
  • CVE-2023-36019 (puntuación CVSS: 9,6): vulnerabilidad de suplantación de identidad del conector Microsoft Power Platform

CVE-2023-36019 también es importante porque permite al atacante enviar una URL especialmente diseñada al objetivo, lo que resulta en la ejecución de scripts maliciosos en el navegador de la víctima en su máquina.

«Un atacante podría manipular un enlace, aplicación o archivo malicioso para disfrazarlo como un enlace o archivo legítimo para engañar a la víctima», dijo Microsoft en un aviso.

La actualización del martes de parches de Microsoft también soluciona tres fallas en el servicio del servidor del Protocolo de configuración dinámica de host (DHCP) que podrían provocar una denegación de servicio o divulgación de información:

  • CVE-2023-35638 (puntuación CVSS: 7,5): vulnerabilidad de denegación de servicio del servicio del servidor DHCP
  • CVE-2023-35643 (puntuación CVSS: 7,5): vulnerabilidad de divulgación de información del servicio del servidor DHCP
  • CVE-2023-36012 (puntuación CVSS: 5,3): vulnerabilidad de divulgación de información del servicio del servidor DHCP

La divulgación también se produce cuando Akamai descubrió un nuevo conjunto de ataques contra dominios de Active Directory que utilizan servidores del Protocolo de configuración dinámica de host ( DHCP ) de Microsoft.

«Estos ataques podrían permitir a los atacantes falsificar registros DNS confidenciales, lo que tendría diversas consecuencias, desde el robo de credenciales hasta el compromiso total del dominio de Active Directory», dijo Ori David en un informe la semana pasada. «Los ataques no requieren ninguna credencial y funcionan con la configuración predeterminada del servidor DHCP de Microsoft «.

La empresa de seguridad e infraestructura web señaló además que el impacto de las fallas puede ser significativo, ya que pueden explotarse para falsificar registros DNS en servidores DNS de Microsoft, incluida una sobrescritura arbitraria no autenticada de registros DNS, lo que permite a un actor obtener una máquina en el -posición media sobre hosts en el dominio y acceso a datos confidenciales.

Microsoft, en respuesta a los hallazgos, dijo que «los problemas son por diseño o no son lo suficientemente graves como para recibir una solución», lo que requiere que los usuarios deshabiliten las actualizaciones dinámicas de DNS de DHCP si no son necesarias y se abstengan de usar DNSUpdateProxy.

Parches de software de otros proveedores.

Además de Microsoft, otros proveedores también han lanzado actualizaciones de seguridad durante las últimas semanas para rectificar varias vulnerabilidades, entre ellas:

  • Adobe
  • Servicios web de Amazon
  • Androide
  • Proyectos Apache (incluido Apache Struts )
  • Manzana
  • Brazo
  • Atlassiano
  • Atos
  • cisco
  • CODESYS
  • Dell
  • drupal
  • F5
  • Fortinet
  • GitLab
  • Google Chrome
  • Chromecast
  • Nube de Google
  • Sistema operativo Google Wear
  • Hikvisión
  • Energía Hitachi
  • caballos de fuerza
  • IBM
  • Jenkins
  • lenovo
  • Distribuciones de Linux Debian , Oracle Linux , Red Hat , SUSE y Ubuntu
  • MediaTek (incluido 5Ghoul )
  • Mitsubishi Electrico
  • Mozilla Firefox, Firefox ESR y Thunderbird
  • NETGEAR
  • Nvidia
  • Qualcomm (incluido 5Ghoul )
  • Samsung
  • SAVIA
  • Schneider Electric
  • siemens
  • Vientos solares
  • SonicWall
  • Sophos (porta una solución para CVE-2022-3236 a versiones no compatibles de Sophos Firewall)
  • Marco de primavera
  • Veritas
  • VMware
  • WordPress
  • Ampliar y
  • Zyxel

Fuente y redacción: thehackernews.com

Compartir