Las primeras correcciones del martes de parches enviadas por Microsoft para 2023 han abordado un total de 98 fallas de seguridad<\/a>incluido un error que, seg\u00fan la compa\u00f1\u00eda, se est\u00e1 explotando activamente en la naturaleza.<\/p>\n 11 de los 98 problemas est\u00e1n clasificados como Cr\u00edticos y 87 est\u00e1n clasificados como Importantes en cuanto a su gravedad, y una de las vulnerabilidades tambi\u00e9n figura como conocida p\u00fablicamente en el momento del lanzamiento. Por separado, se espera que el fabricante de Windows publique actualizaciones para su navegador Edge basado en Chromium. <\/p>\n La vulnerabilidad que est\u00e1 bajo ataque se relaciona con CVE-2023-21674<\/a> (puntuaci\u00f3n CVSS: 8.8), una falla de escalada de privilegios en la llamada de procedimiento local avanzado de Windows (ALPC<\/a>) que podr\u00eda ser explotado por un atacante para obtener permisos de SISTEMA.<\/p>\n “Esta vulnerabilidad podr\u00eda conducir a un escape de la caja de arena del navegador”, se\u00f1al\u00f3 Microsoft en un aviso, dando cr\u00e9dito a los investigadores de Avast Jan Vojt\u011b\u0161ek, Mil\u00e1nek y Przemek Gmerek por informar el error.<\/p>\n Si bien los detalles de la vulnerabilidad a\u00fan est\u00e1n en secreto, una explotaci\u00f3n exitosa requiere que un atacante ya haya obtenido una infecci\u00f3n inicial en el host. Tambi\u00e9n es probable que la falla se combine con un error presente en el navegador web para salir de la zona de pruebas y obtener privilegios elevados.<\/p>\n “Una vez que se haya hecho el punto de apoyo inicial, los atacantes buscar\u00e1n moverse a trav\u00e9s de una red u obtener niveles de acceso m\u00e1s altos adicionales y este tipo de vulnerabilidades de escalada de privilegios son una parte clave del libro de jugadas de ese atacante”, Kev Breen, director de investigaci\u00f3n de amenazas cibern\u00e9ticas en Laboratorios de inmersi\u00f3n, dijo.<\/p>\n Habiendo dicho eso, las posibilidades de que una cadena de explotaci\u00f3n como esta se emplee de manera generalizada son limitadas debido a la funci\u00f3n de actualizaci\u00f3n autom\u00e1tica utilizada para parchear los navegadores, dijo Satnam Narang, ingeniero de investigaci\u00f3n senior de Tenable.<\/p>\n Tambi\u00e9n vale la pena se\u00f1alar que la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha agregado<\/a> la vulnerabilidad a sus Vulnerabilidades Explotadas Conocidas (KEV<\/a>) cat\u00e1logo, instando a las agencias federales a aplicar parches antes del 31 de enero de 2023.<\/p>\n Adem\u00e1s, CVE-2023-21674 es la cuarta falla de este tipo identificada en ALPC, una funci\u00f3n de comunicaci\u00f3n entre procesos (IPC) proporcionada por el kernel de Microsoft Windows, despu\u00e9s de CVE-2022-41045<\/a>, CVE-2022-41093<\/a>y CVE-2022-41100<\/a> (puntajes CVSS: 7.8), los \u00faltimos tres de los cuales se conectaron en noviembre de 2022.<\/p>\n Otras dos vulnerabilidades de escalada de privilegios identificadas como de alta prioridad afectan a Microsoft Exchange Server (CVE-2023-21763<\/a> y CVE-2023-21764<\/a>puntuaciones CVSS: 7,8), que se derivan de un parche incompleto para CVE-2022-41123, seg\u00fan Qualys.<\/p>\n “Un atacante podr\u00eda ejecutar c\u00f3digo con privilegios de nivel de SISTEMA al explotar una ruta de archivo codificada”, dijo Saeed Abbasi, gerente de investigaci\u00f3n de vulnerabilidades y amenazas en Qualys, en un comunicado.<\/p>\n Microsoft tambi\u00e9n resolvi\u00f3 una omisi\u00f3n de la funci\u00f3n de seguridad en SharePoint Server (CVE-2023-21743<\/a>, puntaje CVSS: 5.3) que podr\u00eda permitir a un atacante no autenticado eludir la autenticaci\u00f3n y establecer una conexi\u00f3n an\u00f3nima. El gigante tecnol\u00f3gico se\u00f1al\u00f3 que “los clientes tambi\u00e9n deben activar una acci\u00f3n de actualizaci\u00f3n de SharePoint incluida en esta actualizaci\u00f3n para proteger su granja de SharePoint”.<\/p>\n La actualizaci\u00f3n de enero corrige a\u00fan m\u00e1s una serie de fallas en la escalada de privilegios, incluida una en el Administrador de credenciales de Windows (CVE-2023-21726<\/a>puntuaci\u00f3n CVSS: 7,8) y tres que afectan al componente Print Spooler (CVE-2023-21678<\/a>, CVE-2023-21760<\/a>y CVE-2023-21765<\/a>).<\/p>\n A la Agencia de Seguridad Nacional de EE. UU. (NSA) se le atribuye el informe CVE-2023-21678. En total, 39 de las vulnerabilidades que Microsoft cerr\u00f3 en su \u00faltima actualizaci\u00f3n permiten la elevaci\u00f3n de privilegios.<\/p>\n Completando la lista est\u00e1 CVE-2023-21549<\/a> (puntuaci\u00f3n CVSS: 8,8), una vulnerabilidad de elevaci\u00f3n de privilegios conocida p\u00fablicamente en el servicio de testigo SMB de Windows y otra instancia de omisi\u00f3n de caracter\u00edsticas de seguridad que afecta a BitLocker (CVE-2023-21563<\/a>puntuaci\u00f3n CVSS: 6,8).<\/p>\n “Un atacante exitoso podr\u00eda eludir la funci\u00f3n de Cifrado de dispositivo BitLocker en el dispositivo de almacenamiento del sistema”, dijo Microsoft. “Un atacante con acceso f\u00edsico al objetivo podr\u00eda explotar esta vulnerabilidad para obtener acceso a datos cifrados”.<\/p>\n Por \u00faltimo, Redmond tiene revis\u00f3 su gu\u00eda<\/a> sobre el uso malicioso de controladores firmados<\/a> (llamado Bring Your Own Vulnerable Driver) para incluir un lista de bloqueo actualizada<\/a> lanzado como parte de las actualizaciones de seguridad de Windows el 10 de enero de 2023.<\/p>\n CISA el martes tambi\u00e9n agreg\u00f3 CVE-2022-41080<\/a>una falla de escalada de privilegios de Exchange Server, al cat\u00e1logo de KEV despu\u00e9s de los informes de que la vulnerabilidad se est\u00e1 encadenando junto con CVE-2022-41082<\/a> para lograr la ejecuci\u00f3n remota de c\u00f3digo en sistemas vulnerables.<\/p>\n El exploit, cuyo nombre en c\u00f3digo es OWASSRF por CrowdStrike, ha sido aprovechado por los actores del ransomware Play para violar los entornos de destino. Microsoft corrigi\u00f3 los defectos en noviembre de 2022.<\/p>\n Las actualizaciones de Patch Tuesday tambi\u00e9n llegan como Windows 7, Windows 8.1 y Windows RT alcanz\u00f3<\/a> fin del soporte<\/a> el 10 de enero de 2023. Microsoft dijo que no ofrecer\u00e1 un programa de actualizaci\u00f3n de seguridad extendida (ESU) para Windows 8.1, sino que instar\u00e1 a los usuarios a actualizar a Windows 11.<\/p>\n “Continuar usando Windows 8.1 despu\u00e9s del 10 de enero de 2023 puede aumentar la exposici\u00f3n de una organizaci\u00f3n a los riesgos de seguridad o afectar su capacidad para cumplir con las obligaciones de cumplimiento”, dijo la empresa. advertido<\/a>.<\/p>\n Adem\u00e1s de Microsoft, otros proveedores tambi\u00e9n han lanzado actualizaciones de seguridad desde principios de mes para corregir varias vulnerabilidades, que incluyen:<\/p>\n <\/p>\nParches de software de otros proveedores<\/h3>\n