Actualizaciones de febrero de 2024 para todos, todas y todes 馃お
Ayer, martes de parches de febrero de 2024, Microsoft que incluye actualizaciones de seguridad para 73 fallas y dos Zero-Days explotados activamente ( reporte completo.)
Estos parches corrigen cinco vulnerabilidades cr铆ticas, incluidas las vulnerabilidades de denegaci贸n de servicio, ejecuci贸n remota de c贸digo, divulgaci贸n de informaci贸n y elevaci贸n de privilegios.
La cantidad de errores en cada categor铆a de vulnerabilidad se enumera a continuaci贸n:
- 16 Vulnerabilidades de elevaci贸n de privilegios
- 3 vulnerabilidades de omisi贸n de funciones de seguridad
- 30 vulnerabilidades de ejecuci贸n remota de c贸digo
- 5 vulnerabilidades de divulgaci贸n de informaci贸n
- 9 vulnerabilidades de denegaci贸n de servicio
- 10 vulnerabilidades de suplantaci贸n de identidad
El recuento total de 73 fallas no incluye 6 fallas de Microsoft Edge corregidas el 8 de febrero y 1 falla de Mariner.
Para obtener m谩s informaci贸n sobre las actualizaciones no relacionadas con la seguridad publicadas hoy, puede revisar nuestros art铆culos dedicados a la nueva actualizaci贸n acumulativa KB5034765 de Windows 11 y la actualizaci贸n KB5034763 de Windows 10.
Dos Zero-Day arreglados
El Patch Tuesday de este mes corrige dos vulnerabilidades de d铆a cero explotadas activamente, que Microsoft clasifica como una falla que se divulga p煤blicamente o se explota activamente sin una soluci贸n oficial disponible.
Las dos vulnerabilidades de d铆a cero explotadas activamente en las actualizaciones de hoy son:
CVE-2024-21351: Vulnerabilidad de omisi贸n de la funci贸n de seguridad SmartScreen de Windows
Microsoft ha solucionado una vulnerabilidad de Windows SmartScreen explotada activamente que permite a los atacantes eludir los controles de seguridad de SmartScreen.
"Un atacante autorizado debe enviar al usuario un archivo malicioso y convencerlo de que lo abra. Un atacante que explotara con 茅xito esta vulnerabilidad podr铆a eludir la experiencia del usuario de SmartScreen", continu贸 Microsoft.
No se sabe c贸mo se abus贸 de la falla en los ataques o por cual actor de amenaza. La falla fue descubierta por Eric Lawrence de Microsoft pero la empresa no ha proporcionado detalles sobre c贸mo se aprovech贸 la falla CVE-2024-21351 en los ataques.
CVE-2024-21412: Vulnerabilidad de omisi贸n de funci贸n de seguridad de archivos de acceso directo a Internet.
Microsoft ha solucionado una falla de archivo de acceso directo a Internet explotada activamente que podr铆a eludir las advertencias de Marca de la Web (MoTW) en Windows.
"Un atacante no autenticado podr铆a enviar al usuario objetivo un archivo especialmente dise帽ado para eludir las comprobaciones de seguridad mostradas", explica Microsoft.
"Sin embargo, el atacante no tendr铆a forma de obligar a un usuario a ver el contenido controlado por el atacante. En cambio, el atacante tendr铆a que convencerlo de que tome medidas haciendo clic en el enlace del archivo".
Peter Girnus (aka gothburz) de la Trend Micro's Zero Day Initiative, quien descubri贸 la falla, public贸 hoy un informe sobre c贸mo fue explotada activamente por el grupo APT DarkCasino (Water Hydra) en una campa帽a dirigida a los operadores financieros.
Vulnerabilidad cr铆tica en Outlook con exploit activo (CVE-2024-21413)
Esta vulnerabilidad, denominada MonikerLink, Microsoft Outlook (score CVSS 9.8) permite la ejecuci贸n de c贸digo remoto con interacci贸n de 1-Click del usuario, no requiere privilegios previos y permite robar credenciales NTLM. Adem谩s ya se ha publicado un exploit basado en el art铆culo t茅cnico e investigaci贸n de Checkpoint.
Afecta a cualquier usuario conectado a Internet y no requiere condiciones especiales para ser explotada. Microsoft ha publicado las actualizaciones de seguridad para m煤ltiples versiones de Office, incluyendo Office 2016, Office LTSC 2021, Microsoft 365 Apps for Enterprise y Office 2019.
Actualizaciones recientes de otras empresas
Otros proveedores que publicaron actualizaciones o avisos en febrero de 2023 incluyen:
- Adobe has released security updates for Commerce, Substance 3D Painter, Acrobat and Reader, and more.
- Cisco released security updates for multiple products.
- ExpressVPN released a new version to remove the split-tunneling feature after it leaked DNS queries.
- Fortinet released security updates for a new FortiOS SSL VPN RCE, which is exploited in attacks, and two RCE flaws in FortiSIEM.
- Google released the Android February 2024 security updates.
- Ivanti released security updates for a new Connect Secure authentication bypass flaw.
- JetBrains released security updates for a new critical authentication bypass vulnerability in TeamCity On-Premises.
- Linux distros release patches for new Shim bootloader code execution flaw.
- Mastodon released a security update to fix a vulnerability that allows attackers to take over any remote account.
- SAP has released its February 2024 Patch Day updates.
Fuente: BC
No entend铆 lo de "para todos y todas". Al no ser una acepci贸n de la lengua espa帽ola (RAE se expidi贸 exl铆citamente sobre el tema), cu谩l fue la intenci贸n de titular una nota t茅cnica as铆?
ResponderBorrarajjaaj, solo es una broma para los "inclusivos"
BorrarEstamo a un tris de ver en los textos: todos, todas, todes, tod@s, paral embarrar m谩s el texto. Lamentable!!!.
Borrarjajaja, que poco sentido de la ironia :P
BorrarJaja solo falt贸 el todos no? ;(
ResponderBorrar