El gigante tecnológico Microsoft lanzó su último conjunto de actualizaciones de seguridad mensuales para 2022 con arreglos para 49 vulnerabilidades en todos sus productos de software.
De los 49 errores, seis se califican como Críticos, 40 como Importantes y tres como Moderados en gravedad. Las actualizaciones se suman a 24 vulnerabilidades que se han abordado en el navegador Edge basado en Chromium desde principios de mes.
El martes de parches de diciembre cubre dos vulnerabilidades de día cero, una que se explota activamente y otro problema que se menciona como divulgado públicamente en el momento del lanzamiento.
El primero se relaciona con CVE-2022-44698 (puntaje CVSS: 5.4), uno de los tres problemas de omisión de seguridad en Windows SmartScreen que podría ser explotado por un actor malicioso para evadir las protecciones de marca de la web (MotW).
Vale la pena señalar que este problema, junto con CVE-2022-41091 (puntaje CVSS: 5.4), se ha observado que los actores del ransomware Magniber explotan este problema para entregar archivos JavaScript no autorizados dentro de archivos ZIP.
«Permite a los atacantes crear documentos que no serán etiquetados con la ‘Marca de la Web’ de Microsoft a pesar de ser descargados de sitios no confiables», dijo Greg Wiseman de Rapid7. «Esto significa que no hay vista protegida para los documentos de Microsoft Office, lo que facilita que los usuarios hagan cosas incompletas como ejecutar macros maliciosas».
Divulgado públicamente, pero no visto explotado activamente, es CVE-2022-44710 (Puntuación CVSS: 7,8), una falla de elevación de privilegios en DirectX Graphics Kernel que podría permitir que un adversario obtenga privilegios de SISTEMA.
«La explotación exitosa de esta vulnerabilidad requiere que un atacante gane una condición de carrera», señaló Microsoft en un aviso.
Microsoft también corrigió varios errores de ejecución remota de código en Microsoft Dynamics NAV, Microsoft SharePoint Server, PowerShell, Windows Secure Socket Tunneling Protocol (SSTP), .NET Framework, Contacts y Terminal.
Además, la actualización también resuelve 11 vulnerabilidades de ejecución remota de código en Microsoft Office Graphics, OneNote y Visio, todas las cuales tienen una calificación de 7,8 en el sistema de puntuación CVSS.
Dos de las 19 fallas de elevación de privilegios corregidas este mes incluyen correcciones para el componente Windows Print Spooler (CVE-2022-44678 y CVE-2022-44681puntaje CVSS: 7.8), continuando con un flujo constante de parches lanzados por la compañía durante el año pasado.
Por último, pero no menos importante, Microsoft ha asignado la etiqueta «Explotación más probable» a la vulnerabilidad de ejecución remota de código de PowerShell (CVE-2022-41076puntaje CVSS: 8.5) y falla de escalada de privilegios de Windows Sysmon (CVE-2022-44704puntaje CVSS: 7.8), por lo que es esencial que los usuarios apliquen actualizaciones para mitigar amenazas potenciales.
Parches de software de otros proveedores
Además de Microsoft, otros proveedores también han lanzado actualizaciones de seguridad en las últimas dos semanas para corregir varias vulnerabilidades, que incluyen: