Actualizaciones de seguridad de varios fabricantes en enero

Microsoft lanzó el martes su primer conjunto de actualizaciones de 2022 para solucionar 96 agujeros de seguridad en su ecosistema, al tiempo que instó a los clientes a priorizar la aplicación de parches para lo que llama una vulnerabilidad crítica "wormable".

De las 96 vulnerabilidades, nueve están clasificadas como Críticas y 89 tienen una clasificación de gravedad Importante, con seis Zero-Days conocidos públicamente en el momento del lanzamiento. Esto se suma a los 29 problemas parcheados en Microsoft Edge el 6 de enero de 2022. Ninguno de los errores revelados aparece como utilizado actualmente.

Los parches cubren una parte de la cartera del gigante informático, incluidos Microsoft Windows y componentes de Windows, Exchange Server, Microsoft Office y componentes de Office, SharePoint Server, .NET Framework, Microsoft Dynamics, software de código abierto, Windows Hyper-V, Windows Defender, y Protocolo de escritorio remoto de Windows (RDP).

El principal de ellos es CVE-2022-21907 (puntuación CVSS: 9,8), una vulnerabilidad de ejecución remota de código en la pila de protocolo HTTP. "En la mayoría de las situaciones, un atacante no autenticado podría enviar un paquete especialmente diseñado a un servidor objetivo utilizando la pila de protocolo HTTP (http.sys) para procesar paquetes", señala Microsoft en su aviso.

Al investigador de seguridad ruso Mikhail Medvedev se le atribuye el descubrimiento y la notificación del error, y Microsoft destaca que es compatible con gusanos, lo que significa que no es necesaria la interacción del usuario para desencadenar y propagar la infección.

"Aunque Microsoft ha proporcionado un parche oficial, este CVE es otro recordatorio de que las características del software brindan oportunidades para que los atacantes hagan un mal uso de las funcionalidades para actos maliciosos", dijo Danny Kim, arquitecto principal de Virsec.

Microsoft también resolvió seis días cero como parte de su actualización Patch Tuesday, dos de los cuales son una integración de correcciones de terceros,   relacionadas con las bibliotecas de código abierto CURL y Libarchive.

• CVE-2021-22947 (CVSS score: N/A) – Open-Source curl Remote Code Execution Vulnerability
• CVE-2021-36976 (CVSS score: N/A) – Open-source libarchive Remote Code Execution Vulnerability
• CVE-2022-21836 (CVSS score: 7.8) – Windows Certificate Spoofing Vulnerability
• CVE-2022-21839 (CVSS score: 6.1) – Windows Event Tracing Discretionary Access Control List Denial of Service Vulnerability
• CVE-2022-21874 (CVSS score: 7.8) – Windows Security Center API Remote Code Execution Vulnerability
• CVE-2022-21919 (CVSS score: 7.0) – Windows User Profile Service Elevation of Privilege Vulnerability

Otra vulnerabilidad crítica importante se refiere a una falla de ejecución remota de código (CVE-2022-21849, puntaje CVSS: 9.8) en Windows Internet Key Exchange (IKE) versión 2, que según Microsoft podría ser armado por un atacante remoto para "activar múltiples vulnerabilidades sin estar autenticado".

Además de eso, el parche también corrige una serie de fallas de ejecución remota de código que afectan a Exchange Server, Microsoft Office (CVE-2022-21840), SharePoint Server, RDP (CVE-2022-21893) y Windows Resilient File System, así como vulnerabilidades de escalada de privilegios en Active Directory Domain Services, Windows Accounts Control, Windows Cleanup Manager y Windows Kerberos, entre otros.

A través de la explotación de la vulnerabilidad CVE-2022-21893 en RDP, atacantes internos podrían, por ejemplo, ver y modificar los datos del portapapeles de otras personas o hacerse pasar por otros usuarios registrados utilizando tarjetas inteligentes. La vulnerabilidad no fue demasiado publicitada por la multitud de actualizaciones de seguridad, pero es las más que digna de escrutinio. Además, es un problema generalizado y el error se remonta al menos a Windows Server 2012 R2, lo que llevó a la empresa a concluir que las últimas versiones de Windows, incluidas las ediciones de cliente y servidor, están afectadas. También es fácil de explotar y Microsoft dijo que una explotación de la vulnerabilidad sería de baja complejidad, lo que lleva a una calificación de criticidad de CVSS de 7.7 sobre 10.

Vale la pena enfatizar que CVE-2022-21907 y las tres deficiencias descubiertas en Exchange Server (CVE-2022-21846, CVE-2022-21855, y CVE-2022-21969, puntajes CVSS: 9.0) han sido etiquetados como de "explotación probable", lo que requiere que los parches se apliquen de inmediato para contrarrestar posibles ataques del mundo real dirigidos a las debilidades.

Parches de software de otros proveedores

Además de Microsoft, otros proveedores también han lanzado actualizaciones de seguridad para corregir varias vulnerabilidades, contando:

• Adobe
• Android
• Cisco
• Citrix
• Google Chrome
• Juniper Networks
• Linux Oracle Linux, Red Hat, y SUSE
• Mozilla Firefox, Firefox ESR, y Thunderbird
• Samba
• SAP
• Schneider Electric
• Siemens
• VMware
• WordPress

Fuente: THN

Suscríbete a nuestro Boletín