Microsoft lanzó su conjunto final de actualizaciones del martes de parches para 2023, cerrando 33 defectos en su software, lo que lo convierte en uno de los lanzamientos más ligeros de los últimos años.
De las 33 deficiencias, cuatro se consideran críticas y 29 se consideran importantes en cuanto a su gravedad. Las correcciones se suman a 18 defectos Microsoft abordó en su navegador Edge basado en Chromium desde el lanzamiento de las actualizaciones del martes de parches para noviembre de 2023.
Según datos de la Iniciativa de día cero, el gigante del software ha parcheado más de 900 fallas este año, lo que lo convierte en uno de los años de mayor actividad para los parches de Microsoft. A modo de comparación, Redmond resolvió 917 CVE en 2022.
Si bien ninguna de las vulnerabilidades figura como conocida públicamente o bajo ataque activo en el momento del lanzamiento, algunas de las más notables se enumeran a continuación:
- CVE-2023-35628 (Puntuación CVSS: 8.1) – Vulnerabilidad de ejecución remota de código en la plataforma MSHTML de Windows
- CVE-2023-35630 (Puntuación CVSS: 8,8) – Vulnerabilidad de ejecución remota de código de conexión compartida a Internet (ICS)
- CVE-2023-35636 (Puntuación CVSS: 6,5) – Vulnerabilidad de divulgación de información de Microsoft Outlook
- CVE-2023-35639 (Puntuación CVSS: 8,8) – Vulnerabilidad de ejecución remota de código del controlador ODBC de Microsoft
- CVE-2023-35641 (Puntuación CVSS: 8,8) – Vulnerabilidad de ejecución remota de código de conexión compartida a Internet (ICS)
- CVE-2023-35642 (Puntuación CVSS: 6,5) – Vulnerabilidad de denegación de servicio de conexión compartida a Internet (ICS)
- CVE-2023-36019 (Puntuación CVSS: 9,6) – Vulnerabilidad de suplantación de identidad del conector Microsoft Power Platform
CVE-2023-36019 también es importante porque permite al atacante enviar una URL especialmente diseñada al objetivo, lo que resulta en la ejecución de scripts maliciosos en el navegador de la víctima en su máquina.
Supere las amenazas impulsadas por la IA con confianza cero: seminario web para profesionales de la seguridad
Las medidas de seguridad tradicionales no son suficientes en el mundo actual. Es hora de adoptar la seguridad Zero Trust. Proteja sus datos como nunca antes.
«Un atacante podría manipular un enlace, aplicación o archivo malicioso para disfrazarlo como un enlace o archivo legítimo para engañar a la víctima», dijo Microsoft en un aviso.
La actualización del martes de parches de Microsoft también soluciona tres fallas en el servicio del servidor del Protocolo de configuración dinámica de host (DHCP) que podrían provocar una denegación de servicio o divulgación de información:
- CVE-2023-35638 (Puntuación CVSS: 7,5) – Vulnerabilidad de denegación de servicio del servicio del servidor DHCP
- CVE-2023-35643 (Puntuación CVSS: 7,5) – Vulnerabilidad de divulgación de información del servicio del servidor DHCP
- CVE-2023-36012 (Puntuación CVSS: 5,3) – Vulnerabilidad de divulgación de información del servicio del servidor DHCP
La divulgación también se produce cuando Akamai descubrió un nuevo conjunto de ataques contra dominios de Active Directory que utilizan el Protocolo de configuración dinámica de host de Microsoft (DHCP) servidores.
«Estos ataques podrían permitir a los atacantes falsificar registros DNS confidenciales, lo que tendría diversas consecuencias, desde el robo de credenciales hasta el compromiso total del dominio de Active Directory», Ori David dicho en un informe la semana pasada. «Los ataques no requieren ninguna credencial y funcionan con la configuración predeterminada de Servidor DHCP de Microsoft«.
La empresa de seguridad e infraestructura web señaló además que el impacto de las fallas puede ser significativo, ya que pueden explotarse para falsificar registros DNS en servidores DNS de Microsoft, incluida una sobrescritura arbitraria no autenticada de registros DNS, lo que permite a un actor obtener una máquina en el -posición media sobre hosts en el dominio y acceso a datos confidenciales.
Microsoft, en respuesta a los hallazgos, dijo que «los problemas son por diseño o no son lo suficientemente graves como para recibir una solución», lo que requiere que los usuarios deshabiliten las actualizaciones dinámicas de DNS de DHCP si no son necesarias y se abstengan de usar DNSUpdateProxy.
Parches de software de otros proveedores
Además de Microsoft, otros proveedores también han lanzado actualizaciones de seguridad durante las últimas semanas para rectificar varias vulnerabilidades, entre ellas: