Ayer fue martes de parches de agosto Microsoft y de muchas otras empresas. Microsoft public贸 86 actualizaciones de seguridad, incluidas 2 vulnerabilidades explotadas activamente y 23 vulnerabilidades de ejecuci贸n remota de c贸digo, de los cuales 6 fueron calificadas como 'Cr铆ticos'.
El n煤mero de errores en cada categor铆a de vulnerabilidad se enumera a continuaci贸n:
- 18 Vulnerabilidades de elevaci贸n de privilegios
- 3 Vulnerabilidades de omisi贸n de caracter铆sticas de seguridad
- 23 vulnerabilidades de ejecuci贸n remota de c贸digo
- 10 vulnerabilidades de divulgaci贸n de informaci贸n
- 8 Vulnerabilidades de denegaci贸n de servicio
- 12 vulnerabilidades de suplantaci贸n de identidad
Estos recuentos no incluyen 12 vulnerabilidades de Microsoft Edge (Chromium) corregidas a principios de este mes.
Dos vulnerabilidades explotadas activamente
Se corrigen 2 vulnerabilidades Zero-Day, ambas explotadas en ataques y una de ellas divulgada p煤blicamente.
Microsoft clasifica una vulnerabilidad como de d铆a cero si se divulga p煤blicamente o se explota activamente sin una soluci贸n oficial disponible.
Las dos vulnerabilidades de d铆a cero explotadas activamente en las actualizaciones de hoy son:
- ADV230003: Actualizaci贸n de Microsoft Office Defense en profundidad (divulgada p煤blicamente) para corregir una omisi贸n de parche de la falla de ejecuci贸n de c贸digo remoto CVE-2023-36884 previamente mitigada y explotada activamente. La falla CVE-2023-36884 permiti贸 a los actores de amenazas crear documentos de Microsoft Office especialmente dise帽ados que podr铆an pasar por alto la funci贸n de seguridad Mark of the Web (MoTW), lo que provocaba que los archivos se abrieran sin mostrar una advertencia de seguridad y realizar la ejecuci贸n remota de c贸digo. La vulnerabilidad fue explotada activamente por el grupo RomCom, que anteriormente se sab铆a que implementaba el ransomware Industrial Spy en los ataques. Desde entonces, la operaci贸n de ransomware se ha rebautizado como 'Underground', bajo la cual contin煤an extorsionando a las v铆ctimas.
- CVE-2023-38180: vulnerabilidad de denegaci贸n de servicio de .NET y Visual Studio, explotada activamente que puede causar un ataque DoS en aplicaciones .NET y Visual Studio. Desafortunadamente, Microsoft no comparti贸 ning煤n detalle adicional sobre c贸mo se us贸 esta falla en los ataques y no revel贸 qui茅n descubri贸 la vulnerabilidad. La falla fue descubierta por los investigadores de Cycode, quienes la informaron a Microsoft junto con una prueba de concepto (PoC) funcional que desarrollaron. Sin embargo, el gigante tecnol贸gico decidi贸 no solucionar el problema, ya que no se espera que las extensiones est茅n aisladas del resto del entorno.
Los expertos de la firma de seguridad Automox tambi茅n llamaron la atenci贸n sobre CVE-2023-36910, un error de ejecuci贸n remota de c贸digo en el servicio Microsoft Message Queuing que se puede explotar de forma remota y sin privilegios para ejecutar c贸digo en sistemas vulnerables Windows 10, 11 y Server 2008-2022. Microsoft dice que considera que esta vulnerabilidad es "menos probable" de ser explotada, y Automox dice que si bien el servicio de cola de mensajes no est谩 habilitado de forma predeterminada en Windows y es menos com煤n hoy en d铆a, cualquier dispositivo que lo tenga habilitado corre un riesgo cr铆tico.
Actualizaciones de otras empresas
- Adobe public贸 las actualizaciones para security updatesAdobe Acrobat, Reader, Commerce, y Dimension.
- AMD public贸 numerous security updates para fallas y ataques a su hardware.
- Cisco public贸 security updates para Cisco Secure Web Appliance y Cisco AnyConnect.
- Collide+Power side-channel attack impacta a la mayor铆a de las CPUs
- Google public贸 Android August 2023 updates para corregir vulnerabilidadades explotadas activamente.
- Inception attack (CVE-2023-20569) para AMD Zen CPUs.
- Ivanti corrigi贸 un remote unauthenticated API access vulnerability que afecta a MobileIron Core.
- Microsoft corrigi贸 una falla en Power Platform Custom Connectors
- MOVEit security updates que corrige vulnerabilidades cr铆ticas de SQL injection.
- PaperCut critical vulnerability CVE-2023-39143.
- SAP August 2023 Patch Day.
- VMware corrigi贸 numerous flaws en VMware Horizon Server.
- Zoom corrigi贸 fifteen vulnerabilities.
- CISA, the NSA, y FBI, compartieron las 12 fallas m谩s exlotadas en 2022.
Fuente: BC