Microsoft ha publicado correcciones de software para remediar 59 errores que abarca su cartera de productos, incluidas dos fallas de día cero que han sido explotadas activamente por actores cibernéticos maliciosos.
De las 59 vulnerabilidades, cinco están clasificadas como críticas, 55 como importantes y una como moderada en gravedad. La actualización se suma a 35 defectos parcheado en el navegador Edge basado en Chromium desde la edición Patch Tuesday del mes pasado, que también incluye una solución para CVE-2023-4863, una falla crítica de desbordamiento del búfer de montón en el formato de imagen WebP.
Las dos vulnerabilidades de Microsoft que han sido objeto de explotación activa en ataques del mundo real se enumeran a continuación:
- CVE-2023-36761 (Puntuación CVSS: 6,2) – Vulnerabilidad de divulgación de información en Microsoft Word
- CVE-2023-36802 (Puntuación CVSS: 7,8) – Vulnerabilidad de elevación de privilegios del proxy del servicio de transmisión de Microsoft
«La explotación de esta vulnerabilidad podría permitir la divulgación de hashes NTLM«, dijo el fabricante de Windows en un aviso sobre CVE-2023-36761, afirmando que un atacante podría abusar de CVE-2023-36802 para obtener privilegios del SISTEMA.
Actualmente se desconocen los detalles exactos sobre la naturaleza de la explotación o la identidad de los actores de amenazas detrás de los ataques.
«Explotación de [CVE-2023-36761] no se limita solo a que un objetivo potencial abra un documento de Word malicioso, ya que simplemente obtener una vista previa del archivo puede provocar que se active el exploit», dijo Satnam Narang, ingeniero senior de investigación de Tenable. La explotación permitiría la divulgación de New Technology LAN Manager (NTLM) hashes.»
«El primero fue CVE-2023-23397, una vulnerabilidad de elevación de privilegios en Microsoft Outlook, que se reveló en la versión del martes de parche de marzo».
Otras vulnerabilidades a destacar son varias fallas de ejecución remota de código que afectan la conexión compartida a Internet (ICS), Visual Studio, 3D Builder, Azure DevOps Server, Windows MSHTML y Microsoft Exchange Server y problemas de elevación de privilegios en Windows Kernel, Windows GDI, Windows Common Log. Controlador del sistema de archivos y Office, entre otros.
Parches de software de otros proveedores
Además de Microsoft, otros proveedores también han lanzado actualizaciones de seguridad durante las últimas semanas para rectificar varias vulnerabilidades, entre ellas: