Ayer martes, Microsoft publicó actualizaciones de seguridad que abordan 61 vulnerabilidades, incluyendo tres ceros día que han sido explotados activamente o divulgados públicamente. La empresa destacó una vulnerabilidad crítica en SharePoint Server, pero también llamó la atención sobre un cero día relacionado con el componente DWM de Windows.
Detalles de las actualizaciones
Las actualizaciones abordan 17 vulnerabilidades de elevación de privilegios, dos de omisión de funciones de seguridad, 27 de ejecución remota de código, siete de divulgación de información y tres de denegación de servicio. Además, se incluyen cuatro errores corregidos en Microsoft Edge en fechas anteriores.
Zero-Day explotado activamente
Microsoft destacó un cero día identificado como CVE-2024-30051, relacionado con la biblioteca DWM de Windows. Esta vulnerabilidad permite a los atacantes ejecutar código remoto si se logra el privilegio del sistema. La falla tiene una puntuación CVSS de 7,8 y fue reportada por múltiples equipos de seguridad.
Según Kaspersky, la vulnerabilidad fue descubierta durante investigaciones sobre otro error de escalada de privilegios en DWM. Los investigadores señalaron que el cero día ha sido utilizado junto con QakBot y otros malware, lo cual sugiere su uso por múltiples actores.
QakBot es un troyano bancario que evolucionó hasta convertirse en una herramienta de entrega de malware. Aunque su infraestructura fue desmantelada en 2023, el malware resurgió en campañas de phishing dirigidas a la industria hotelera.
Otra vulnerabilidad crítica
Microsoft también corrigió CVE-2024-30040, una falla que permite a los atacantes eludir las funciones de seguridad en Microsoft 365 y Office. Esta vulnerabilidad tiene una puntuación CVSS de 8,8 y puede permitir la ejecución de código arbitrario si un usuario abre un archivo malicioso.
La compañía advirtió sobre CVE-2024-30044, una vulnerabilidad crítica en SharePoint Server que permite a los atacantes inyectar código remoto y ejecutarlo en el contexto del servidor. Esta falla fue reportada como explotada activamente.
Información adicional
Microsoft mencionó que también se reveló públicamente una vulnerabilidad de denegación de servicio en Visual Studio, identificada como CVE-2024-30046. Además, la empresa señaló que el cero día CVE-2024-30051 fue divulgado públicamente, aunque no se especificó dónde.
Actualizaciones de otras compañías
- Adobe publicó actualizaciones de seguridad para After Effects, Photoshop y otros productos.
- Apple corrigió un cero día en RTKit y otro en Safari WebKit explotado durante Pwn2Own.
- Cisco lanzó actualizaciones para sus productos IP phone.
- Citrix instó a los administradores de Xencenter a corregir una vulnerabilidad en Putty que permite robar claves SSH.
- F5 publicó correcciones para dos fallas críticas en BIG-IP Next Central Manager.
- Google lanzó un parche urgente para el sexto cero día de 2024.
- TinyProxy corrigió una vulnerabilidad crítica de ejecución remota de código revelada por Cisco.
- VMware arregló tres ceros día explotados durante Pwn2Own 2024.