Microsoft ha publicado actualizaciones de seguridad para el mes de abril de 2024, corrigiendo un total de 149 fallas. Dos de estas vulnerabilidades han sido explotadas activamente en la naturaleza.
Vulnerabilidades y clasificación
De los 149 defectos reportados, tres están clasificados como críticos, 142 como importantes, tres como moderados y uno como de gravedad baja. La actualización se suma a 21 vulnerabilidades abordadas en el navegador Edge basado en Chromium tras las correcciones publicadas en marzo.
Vulnerabilidades explotadas activamente
Las dos deficiencias que han sido objeto de explotación activa son:
- CVE-2024-26234: Vulnerabilidad de suplantación de identidad del controlador proxy (puntuación CVSS: 6,7).
- CVE-2024-29988: Vulnerabilidad de omisión de función de seguridad de solicitud de SmartScreen (puntuación CVSS: 8,8).
Detalles adicionales sobre las vulnerabilidades
La actualización aborda hasta 68 ejecuciones remotas de código, 31 escalamiento de privilegios, 26 omisiones de funciones de seguridad y seis errores de denegación de servicio (DoS). Se destacan además:
- 24 fallos en Secure Boot que permiten eludir los mecanismos de seguridad de arranque manipulando la UEFI.
- Una actualización masiva de 40 parches en Microsoft OLE Driver for SQL Server, afectando al cliente y permitiendo engañar a usuarios para conectarse a otro servidor.
- 7 fallas importantes en el servidor DNS de Microsoft.
- 6 fallos que permiten ejecución remota en Microsoft Defender para IoT, tres importantes y tres críticos.
- Un fallo en Outlook fácil de explotar, permitiendo la técnica «pass the hash» a un tercero, así como eludir SmartScreen.
CVE-2024-26234 y su contexto
El aviso de Microsoft no proporciona información sobre CVE-2024-26234. Sin embargo, la empresa de ciberseguridad Sophos informó que descubrió en diciembre de 2023 un ejecutable malicioso firmado por un certificado válido de Windows WHCP.
Detalles sobre el malware
El análisis revela que el editor solicitante original es Hainan YouHu Technology Co. Ltd, también responsable de LaiXi Android Screen Mirroring, descrito como un software de marketing para controlar múltiples dispositivos móviles.
CVE-2024-29988 y su impacto
La otra vulnerabilidad explotada activamente es CVE-2024-29988, que permite eludir las protecciones de Microsoft Defender Smartscreen al abrir archivos especialmente diseñados. Microsoft indicó que un atacante necesitaría convencer a un usuario para iniciar archivos maliciosos sin interfaz de usuario.
Información adicional sobre vulnerabilidades
Zero Day Initiative reveló evidencia de que la falla está siendo explotada en la naturaleza, aunque Microsoft la etiquetó como «Explotación más probable». Otra vulnerabilidad importante es CVE-2024-29990 (puntuación CVSS: 9,0), una falla de elevación de privilegios que afecta al contenedor confidencial del servicio Microsoft Azure Kubernetes.
Críticas a Microsoft
La divulgación se produce cuando Microsoft ha enfrentado críticas por sus prácticas de seguridad, con un informe reciente de la Junta de Revisión de Seguridad Cibernética (CSRB) denunciando a la compañía por no hacer lo suficiente para prevenir una campaña de ciberespionaje orquestada por un actor chino.
Adopción del estándar CWE
También sigue a la decisión de Microsoft de publicar datos de la causa raíz de las fallas utilizando el estándar industrial Common Weakness Enumeration (CWE). Los cambios solo entran en vigor a partir de los avisos publicados desde marzo de 2024.
Metodologías de ataque
Varonis detalló dos métodos que los atacantes podrían adoptar para eludir los registros de auditoría y evitar desencadenar eventos de descarga mientras extraen archivos de SharePoint. Microsoft, que tuvo conocimiento de los problemas en noviembre de 2023, aún no ha publicado una solución.
Actualizaciones para otras aplicaciones
- Adobe
- AMD
- Android
- Apache XML Security for C++
- Aruba Networks
- Atos
- Bosch
- Cisco
- D-Link
- Dell
- Drupal
- F5
- Fortinet
- Fortra
- GitLab
- Google Chrome
- Google Cloud
- Google Pixel
- Hikvision
- Hitachi Energy
- HP
- HP Enterprise
- HTTP/2
- IBM
- Jenkins
- Lenovo
- LG webOS
- Linux distributions: Debian, Oracle Linux, Red Hat, SUSE, and Ubuntu
- MediaTek
- Mozilla Firefox, Firefox ESR, and Thunderbird
- NETGEAR
- NVIDIA
- Qualcomm
- Rockwell Automation
- Rust
- Samsung
- SAP
- Schneider Electric
- Siemens
- Splunk
- Synology
- Trend Micro
- VMware
- WordPress
- Zoom