Ayer fue martes de parches de agosto Microsoft y de muchas otras empresas. Microsoft publicó 86 actualizaciones de seguridad, incluidas 2 vulnerabilidades explotadas activamente y 23 vulnerabilidades de ejecución remota de código, de los cuales 6 fueron calificadas como 'Críticos'.
El número de errores en cada categoría de vulnerabilidad se enumera a continuación:
- 18 Vulnerabilidades de elevación de privilegios
- 3 Vulnerabilidades de omisión de características de seguridad
- 23 vulnerabilidades de ejecución remota de código
- 10 vulnerabilidades de divulgación de información
- 8 Vulnerabilidades de denegación de servicio
- 12 vulnerabilidades de suplantación de identidad
Estos recuentos no incluyen 12 vulnerabilidades de Microsoft Edge (Chromium) corregidas a principios de este mes.
Dos vulnerabilidades explotadas activamente
Se corrigen 2 vulnerabilidades Zero-Day, ambas explotadas en ataques y una de ellas divulgada públicamente.
Microsoft clasifica una vulnerabilidad como de día cero si se divulga públicamente o se explota activamente sin una solución oficial disponible.
Las dos vulnerabilidades de día cero explotadas activamente en las actualizaciones de hoy son:
- ADV230003: Actualización de Microsoft Office Defense en profundidad (divulgada públicamente) para corregir una omisión de parche de la falla de ejecución de código remoto CVE-2023-36884 previamente mitigada y explotada activamente. La falla CVE-2023-36884 permitió a los actores de amenazas crear documentos de Microsoft Office especialmente diseñados que podrían pasar por alto la función de seguridad Mark of the Web (MoTW), lo que provocaba que los archivos se abrieran sin mostrar una advertencia de seguridad y realizar la ejecución remota de código. La vulnerabilidad fue explotada activamente por el grupo RomCom, que anteriormente se sabía que implementaba el ransomware Industrial Spy en los ataques. Desde entonces, la operación de ransomware se ha rebautizado como 'Underground', bajo la cual continúan extorsionando a las víctimas.
- CVE-2023-38180: vulnerabilidad de denegación de servicio de .NET y Visual Studio, explotada activamente que puede causar un ataque DoS en aplicaciones .NET y Visual Studio. Desafortunadamente, Microsoft no compartió ningún detalle adicional sobre cómo se usó esta falla en los ataques y no reveló quién descubrió la vulnerabilidad. La falla fue descubierta por los investigadores de Cycode, quienes la informaron a Microsoft junto con una prueba de concepto (PoC) funcional que desarrollaron. Sin embargo, el gigante tecnológico decidió no solucionar el problema, ya que no se espera que las extensiones estén aisladas del resto del entorno.
Los expertos de la firma de seguridad Automox también llamaron la atención sobre CVE-2023-36910, un error de ejecución remota de código en el servicio Microsoft Message Queuing que se puede explotar de forma remota y sin privilegios para ejecutar código en sistemas vulnerables Windows 10, 11 y Server 2008-2022. Microsoft dice que considera que esta vulnerabilidad es "menos probable" de ser explotada, y Automox dice que si bien el servicio de cola de mensajes no está habilitado de forma predeterminada en Windows y es menos común hoy en día, cualquier dispositivo que lo tenga habilitado corre un riesgo crítico.
Actualizaciones de otras empresas
- Adobe publicó las actualizaciones para security updatesAdobe Acrobat, Reader, Commerce, y Dimension.
- AMD publicó numerous security updates para fallas y ataques a su hardware.
- Cisco publicó security updates para Cisco Secure Web Appliance y Cisco AnyConnect.
- Collide+Power side-channel attack impacta a la mayoría de las CPUs
- Google publicó Android August 2023 updates para corregir vulnerabilidadades explotadas activamente.
- Inception attack (CVE-2023-20569) para AMD Zen CPUs.
- Ivanti corrigió un remote unauthenticated API access vulnerability que afecta a MobileIron Core.
- Microsoft corrigió una falla en Power Platform Custom Connectors
- MOVEit security updates que corrige vulnerabilidades críticas de SQL injection.
- PaperCut critical vulnerability CVE-2023-39143.
- SAP August 2023 Patch Day.
- VMware corrigió numerous flaws en VMware Horizon Server.
- Zoom corrigió fifteen vulnerabilities.
- CISA, the NSA, y FBI, compartieron las 12 fallas más exlotadas en 2022.
Fuente: BC