Sí, el Valentine’s, y el gigante de la tecnología lanzó su actualización de seguridad mensual para febrero de 2018, abordando un total de 50 vulnerabilidades incluidas en CVE en su sistema operativo Windows, Microsoft Office, navegadores web y otros productos.
Catorce de las actualizaciones de seguridad se enumeran como críticas, 34 se consideran importantes y 2 de ellas tienen una calificación de gravedad moderada.
La actualización crítica corrige fallas graves de seguridad en el navegador Edge y el cliente de Outlook, un RCE en el componente StructuredQuery de Windows y varios errores de corrupción de memoria en los motores de scripts utilizados por Edge e Internet Explorer.
Vulnerabilidad crítica de Microsoft Outlook
Uno de los errores más graves incluye una vulnerabilidad de corrupción de memoria ( CVE-2018-0852 ) en Microsoft Outlook, que puede aprovecharse para lograr la ejecución remota de código en las máquinas de destino.
Si la víctima inicia sesión con derechos administrativos de usuario, el atacante podría tomar el control del sistema afectado y, finalmente, permitiéndole instalar programas, crear nuevas cuentas con derechos de usuario completos o ver, cambiar o eliminar datos.
«Lo que es realmente aterrador con este error es que el Panel de vista previa es un vector de ataque, lo que significa que simplemente ver un correo electrónico en el Panel de vista previa podría permitir la ejecución del código», explicó la Iniciativa del día cero (ZDI).
«El usuario final al que se dirige ese ataque no necesita abrir o hacer clic en nada en el correo electrónico, solo verlo en el panel de vista previa. Si este error se convierte en exploits activos, y con este vector de ataque, los escritores de exploits intentarán – Los sistemas sin parchar definitivamente sufrirán «.
La segunda vulnerabilidad de Outlook ( CVE-2018-0850 ), calificada como importante, es una falla de escalamiento de privilegios que se puede aprovechar para forzar a la versión afectada de Outlook a cargar un almacén de mensajes a través de SMB desde un servidor local o remoto.
Los atacantes pueden explotar la vulnerabilidad enviando un correo electrónico especialmente diseñado a un usuario de Outlook, y dado que el error puede ser explotado cuando el mensaje es simplemente recibido (incluso antes de que se abra), el ataque podría tener lugar sin ninguna interacción del usuario.
«Outlook intentará abrir un almacén de mensajes preconfigurado que figura en el correo electrónico al recibir el correo electrónico», explica Microsoft en su aviso. «Esta actualización corrige la vulnerabilidad al garantizar que Office valida por completo el formato del correo electrónico entrante antes de procesar el contenido del mensaje».
Ambas vulnerabilidades de Outlook han sido descubiertas y reportadas al gigante tecnológico por el investigador de Microsoft Nicolas Joly y el ex ganador de Pwn2Own.
Vulnerabilidad crítica de Microsoft Edge
Otro error crítico, que es una vulnerabilidad de divulgación de información ( CVE-2018-0763 ), reside en Microsoft Edge que existe debido a que Microsoft Edge maneja incorrectamente objetos en la memoria.
«Para aprovechar la vulnerabilidad, en un escenario de ataque basado en web, un atacante podría alojar un sitio web en un intento de explotar la vulnerabilidad. Además, los sitios web y sitios web comprometidos que aceptan o alojan contenido proporcionado por el usuario podrían contener contenido especialmente diseñado que podría explotar la vulnerabilidad «, explica Microsoft.
«Sin embargo, en todos los casos un atacante no tendría manera de obligar a un usuario a ver el contenido controlado por el atacante. En cambio, un atacante tendría que convencer a un usuario de que actuara. Por ejemplo, un atacante podría engañar a un usuario para que haga clic en un enlace que lleva al usuario al sitio del atacante «.
Otros problemas críticos incluyen varias vulnerabilidades de corrupción de memoria de Scripting Engine en Microsoft Edge que podrían aprovecharse para lograr la ejecución remota de código en el contexto del usuario actual.
La falla de Microsoft Edge ( CVE-2018-0839 ), calificada como importante, es una vulnerabilidad de divulgación de información que existe debido al manejo incorrecto de Microsoft Edge de objetos en la memoria.
La explotación exitosa del error podría permitir a los atacantes obtener información sensible para comprometer aún más el sistema del usuario.
Internet Explorer también recibió un parche para abordar una vulnerabilidad de divulgación de información ( CVE-2018-0847 ), calificada como importante, que permitiría a una página web usar VBScript para recuperar información almacenada de la memoria.
Vulnerabilidad divulgada públicamente antes de ser parcheado
Aunque la lista de vulnerabilidades parcheadas no incluye ningún defecto de día cero, uno de los fallos de seguridad ( CVE-2018-0771 ) en Microsoft Edge se conoció públicamente antes de que la compañía lanzara parches, pero no se incluyó en la lista de ataques activos.
Incluido como moderado, el problema es una vulnerabilidad de omisión de la política de origen similar (SOP) que se produce debido al manejo incorrecto de Microsoft de solicitudes de diferentes orígenes.
La vulnerabilidad podría permitir a un atacante crear una página web para eludir las restricciones de SOP y hacer que el navegador envíe datos de otros sitios, solicitudes que de lo contrario deberían ignorarse debido a las restricciones de SOP vigentes.
Mientras tanto, Adobe también lanzó el martes actualizaciones de seguridad para sus productos Acrobat, Reader y Experience Manager para abordar un total de 41 vulnerabilidades de seguridad, de las cuales 17 se consideran críticas y 24 importantes en cuanto a la gravedad.
Se recomienda encarecidamente a los usuarios que apliquen parches de seguridad lo antes posible para evitar que hackers y cibercriminales tomen el control de sus computadoras.
Para instalar actualizaciones de seguridad, simplemente vaya a Configuración → Actualización y seguridad → Actualización de Windows → Buscar actualizaciones, o puede instalar las actualizaciones manualmente.
