La actualización del martes de parches de Microsoft para el mes de octubre ha abordado un total de 85 vulnerabilidades de seguridadincluidas correcciones para una falla de día cero explotada activamente en la naturaleza.
De los 85 errores, 15 se califican como Críticos, 69 como Importantes y uno como Moderado en gravedad. La actualización, sin embargo, no incluye mitigaciones para el explotado activamente Defectos de ProxyNotShell en Servidor de intercambio.
los parches atracar actualizaciones para resolver otros 12 defectos en el navegador Edge basado en Chromium que se han lanzado desde principios de mes.
Encabezando la lista de parches de este mes está CVE-2022-41033 (puntuación CVSS: 7,8), una vulnerabilidad de escalada de privilegios en el servicio del sistema de eventos COM+ de Windows. A un investigador anónimo se le atribuye haber informado sobre el problema.
«Un atacante que explotó con éxito esta vulnerabilidad podría obtener privilegios de SISTEMA», dijo la compañía en un aviso, advirtiendo que la deficiencia se está utilizando activamente como arma en ataques del mundo real.
La naturaleza de la falla también significa que es probable que el problema esté encadenado con otras fallas para aumentar los privilegios y llevar a cabo acciones maliciosas en el host infectado.
«Esta vulnerabilidad específica es una escalada de privilegios locales, lo que significa que un atacante ya necesitaría tener ejecución de código en un host para usar este exploit», dijo Kev Breen, director de investigación de amenazas cibernéticas en Immersive Labs.
Otras tres vulnerabilidades de elevación de privilegios importantes se relacionan con Windows Hyper-V (CVE-2022-37979puntuación CVSS: 7,8), servicios de certificados de Active Directory (CVE-2022-37976puntuación CVSS: 8,8) y Kubernetes cluster Connect habilitado para Azure Arc (CVE-2022-37968puntaje CVSS: 10.0).
A pesar de la etiqueta «Explotación menos probable» para CVE-2022-37968, Microsoft señaló que una explotación exitosa de la falla podría permitir que un «usuario no autenticado eleve sus privilegios como administradores de clúster y potencialmente obtenga control sobre el clúster de Kubernetes».
En otra parte, CVE-2022-41043 (Puntuación CVSS: 3.3), una vulnerabilidad de divulgación de información en Microsoft Office, figura como conocida públicamente en el momento del lanzamiento. Podría explotarse para filtrar tokens de usuario y otra información potencialmente confidencial, dijo Microsoft.
Redmond también solucionó ocho fallas de escalada de privilegios en el kernel de Windows, 11 errores de ejecución remota de código en el protocolo de túnel punto a punto de Windows y SharePoint Server, y otra vulnerabilidad de elevación de privilegios en el módulo Print Spooler (CVE-2022-38028puntuación CVSS: 7,8).
Por último, la actualización del martes de parches aborda aún más dos fallas de escalada de privilegios en el servicio de estación de trabajo de Windows (CVE-2022-38034puntaje CVSS: 4.3) y Protocolo remoto de servicio de servidor (CVE-2022-38045puntuación CVSS: 8,8).
La empresa de seguridad web Akamai, que descubrió las dos deficiencias, dijo ellos «aprovechan una falla de diseño que permite eludir [Microsoft Remote Procedure Call] seguridad devoluciones de llamada a través del almacenamiento en caché».
Parches de software de otros proveedores
Además de Microsoft, varios proveedores también han lanzado actualizaciones de seguridad para corregir docenas de vulnerabilidades, que incluyen: