Las actualizaciones del martes de parches de Microsoft para el mes de abril han abordado un total de 128 vulnerabilidades de seguridad abarcando toda su cartera de productos de software, incluidos Windows, Defender, Office, Exchange Server, Visual Studio y Print Spooler, entre otros.
10 de los 128 errores corregidos se calificaron como Críticos, 115 se calificaron como Importantes y tres se calificaron como Moderados en gravedad, con una de las fallas enumeradas como conocidas públicamente y otra bajo ataque activo en el momento del lanzamiento.
Las actualizaciones se suman a 26 otros defectos resuelto por Microsoft en su navegador Edge basado en Chromium desde principios de mes.
El defecto explotado activamente (CVE-2022-24521, puntuación CVSS: 7,8) se relaciona con una vulnerabilidad de elevación de privilegios en el sistema de archivos de registro comunes de Windows (CLFS). A los investigadores de la Agencia de Seguridad Nacional (NSA) y de CrowdStrike, Adam Podlosky y Amir Bazine, se les atribuye haber informado sobre la falla.
La segunda falla de día cero conocida públicamente (CVE-2022-26904puntuación CVSS: 7,0) también se refiere a un caso de escalada de privilegios en el Servicio de perfil de usuario de Windows, cuya explotación exitosa «requiere que un atacante gane una condición de carrera».
Otras fallas críticas a tener en cuenta incluyen una serie de fallas de ejecución remota de código en RPC Runtime Library (CVE-2022-26809puntuación CVSS: 9,8), sistema de archivos de red de Windows (CVE-2022-24491 y CVE-2022-24497puntuaciones CVSS: 9,8), servicio de servidor de Windows (CVE-2022-24541), SMB de Windows (CVE-2022-24500), y Microsoft Dynamics 365 (CVE-2022-23259).
Microsoft también corrigió hasta 18 fallas en el servidor DNS de Windows, una falla en la divulgación de información y 17 fallas en la ejecución remota de código, todas las cuales fueron reportadas por el investigador de seguridad Yuki Chen. También se corrigieron 15 fallas de escalada de privilegios en el componente Windows Print Spooler.
Los parches llegan una semana después de que el gigante tecnológico anunciara planes para poner a disposición una función llamada AutoPatch en julio de 2022 que permite a las empresas acelerar la aplicación de correcciones de seguridad de manera oportuna al tiempo que enfatiza la escalabilidad y la estabilidad.
Parches de software de otros proveedores
Además de Microsoft, otros proveedores también han lanzado actualizaciones de seguridad para corregir varias vulnerabilidades, contando: