Actualizaciones de Microsoft de octubre

Microsoft ha lanzado ayer un gran lote de actualizaciones de seguridad para solucionar un total de 62 vulnerabilidades en sus productos, incluyendo un bug 0-Day en Microsoft Office, que ha estado siendo explotado In-The-Wild.

Vulnerabilidad en MS Office

Esta vulnerabilidad de MS Office (CVE-2017-11826), clasificada por Microsoft como "importante", es causada por un problema de corrupción de memoria. Afecta a todas las versiones compatibles de MS Office y ha sido explotado activamente por los atacantes en ataques dirigidos. Un atacante podría explotar esta vulnerabilidad enviando un archivo de Microsoft Office especialmente diseñado a las víctimas y convencerlo de abrirlo.

Una vez abierto, el código malicioso dentro del archivo de Office se ejecuta con los mismos derechos que el usuario conectado. Por lo tanto, los usuarios con menos privilegios en sus sistemas están menos afectados que aquellos que tienen derechos de administrador más altos.

La vulnerabilidad fue reportada a Microsoft por investigadores de seguridad en la empresa de seguridad china Qihoo 360 Core Security, quien detectó inicialmente un ataque In-the-Wild que involucró archivos RTF maliciosos y aprovechó esta vulnerabilidad el 28 de septiembre.

Vulnerabilidad en DNS

También se corrige una vulnerabilidad crítica de DNS de Windows que podría ser explotada por un servidor DNS malicioso para ejecutar código arbitrario en el sistema objetivo. Esta falla es considerada crítica porque permite de ejecución remota de código en el cliente DNS de Windows y afecta a equipos que ejecutan Windows 8.1 y Windows 10 y Windows Server 2012 hasta 2016.

Nick Freeman, investigador de seguridad de la empresa de seguridad Bishop Fox, descubrió la vulnerabilidad y demostró cómo un atacante conectado a una red Wi-Fi pública podría ejecutar código malicioso en la máquina de una víctima, aumentar los privilegios y tomar el control total sobre el equipo o servidor de destino.

Vulnerabilidad de denegación de servicio de Subsistema de Windows para Linux

Este problema de denegación de servicio (DoS) es otra vulnerabilidad digna de mención que reside en Windows Subsystem para Linux e identificada como CVE-2017-8703. La vulnerabilidad, clasificada por Microsoft como "importante", fue divulgada públicamente, pero no se encontró activamente explotada.

El único producto de Microsoft afectado por esta vulnerabilidad es Windows 10 (Versión 1703). "La actualización corrige la vulnerabilidad mediante la corrección de cómo Windows Subsystem para Linux maneja objetos en la memoria", dijo Microsoft en su boletín.

Vulnerabilidad XSS de Microsoft Office SharePoint (CVE-2017-11777)

Otra vulnerabilidad previamente divulgada, es un XSS en Microsoft SharePoint Server que afecta a SharePoint Server 2013 Service Pack 1 y SharePoint Enterprise Server 2016. La vulnerabilidad, también clasificada por Microsoft como "importante", puede explotarse enviando una solicitud creada de forma malintencionada a un servidor SharePoint afectado.

Otros parches

Además de estos, la compañía ha solucionado un total de 19 vulnerabilidades en el motor de secuencias de comandos en Edge e Internet Explorer que podría permitir que las páginas web para lograr la ejecución de código remoto, con los permisos del usuario conectado, a través de fallos de corrupción de memoria.

Redmond también corrigió dos vulnerabilidades en la biblioteca de fuentes de Windows que pueden permitir que una página web o documento ejecute código malicioso en una máquina vulnerable y lo secuestre al abrir un archivo con una fuente incrustada especialmente diseñada o al visitar un sitio web que aloje el archivo malicioso.

La actualización también incluye correcciones para un error en Windows TRIE (CVE-2017-11769) que permite a los archivos DLL lograr la ejecución remota de código, un error de programación (CVE-2017-11776) en Outlook que deja sus correos electrónicos abiertos a fisgonear supuestamente seguros conexiones.

Otros problemas remendados este mes incluyen dos fallos de ejecución de código remotos en el Shell de Windows y un error de ejecución remota de código en Windows Search.

Microsoft también publicó una advertencia de un problema de bypass de características de seguridad que afecta al firmware de Infineon Trusted Platform Modules (TPM).

Sorprendentemente, Adobe Flash no incluye ningún parche de seguridad.

Fuente: The Hackers News

Suscríbete a nuestro Boletín