El martes de parches de enero de 2025, Microsoft publicó actualizaciones que incluyen correcciones para 159 fallas, entre ellas ocho vulnerabilidades Zero-Day. Tres de estas se explotan activamente en ataques.
Vulnerabilidades corregidas
Se corrigieron doce vulnerabilidades «críticas», incluidas fallas de divulgación de información, elevación de privilegios y ejecución remota de código. A continuación se detalla la cantidad de errores en cada categoría:
- 40 vulnerabilidades de elevación de privilegios
- 14 vulnerabilidades de omisión de funciones de seguridad
- 58 vulnerabilidades de ejecución remota de código
- 24 vulnerabilidades de divulgación de información
- 20 vulnerabilidades de denegación de servicio
- 5 vulnerabilidades de suplantación de identidad
Además, se incluyen actualizaciones no relacionadas con la seguridad, como las acumulativas KB5050009 y KB5050021 para Windows 11, así como la KB5048652 para Windows 10.
Vulnerabilidades Zero-Day explotadas activamente
El parche del martes corrige tres vulnerabilidades de día cero que se están explotando activamente. Estas son:
- CVE-2025-21333, CVE-2025-21334 y CVE-2025-21335: tres vulnerabilidades de elevación de privilegios en Windows Hyper-V que se explotaron para obtener privilegios de SYSTEM en dispositivos Windows.
Vulnerabilidades Zero-Day expuestas públicamente
Se corrigieron cinco vulnerabilidades Zero-Day divulgadas públicmente, que actualmente no se están explotando. Estas son:
- CVE-2025-21275: una falla de elevación de privilegios en el instalador de paquetes de aplicaciones de Windows.
- CVE-2025-21308: una vulnerabilidad de temas de Windows que podría explotarse mostrando un archivo de tema especialmente diseñado en el Explorador de Windows. El fallo fue descubierto por Blaz Satler con 0patch de ACROS Security.
- CVE-2025-21186, CVE-2025-21366 y CVE-2025-21395: tres vulnerabilidades de ejecución remota de código en Microsoft Access que se explotan al abrir documentos especialmente diseñados. Estas fueron descubiertas por la plataforma Unpatched.ai.
Vulnerabilidades críticas con puntuación CVSS alta
Tyler Reguly, director asociado de I+D de seguridad de Fortra, señaló tres CVE críticos en el Patch Tuesday de este mes con puntuaciones CVSS de 9,8:
- CVE-2025-21311: una vulnerabilidad de fin de período de Windows NTLM v1.
- CVE-2025-21307: una vulnerabilidad de control remoto no autenticado en el controlador de transporte de multidifusión confiable de Windows (RMCAST).
- CVE-2025-21298: una vulnerabilidad de control remoto en Windows OLE.
Actualizaciones recientes de otras empresas
Otros proveedores que publicaron actualizaciones o avisos en enero de 2025 incluyen:
- Adobe lanzó actualizaciones de seguridad para Photoshop, Substance3D Stager y Designer, Adobe Illustrator for iPad, y Adobe Animate.
- Cisco publicó actualizaciones de seguridad para múltiples productos, entre ellos Cisco ThousandEyes Endpoint Agent y Cisco Crosswork Network Controller.
- Ivanti lanzó actualizaciones de seguridad para una vulnerabilidad en Connect Secure que fue explotada en ataques para desplegar malware personalizado en dispositivos.
- Fortinet publicó una actualización de seguridad para una vulnerabilidad de bypass de autenticación en FortiOS y FortiProxy, explotada desde noviembre.
- GitHub lanzó actualizaciones de seguridad para dos vulnerabilidades en Git.
- Moxa publicó actualizaciones de seguridad para vulnerabilidades críticas y de alta gravedad en sus dispositivos industriales.
- ProjectDiscovery lanzó actualizaciones de seguridad para una vulnerabilidad en Nuclei que permite a los templates maliciosos evitar la verificación de firmas.
- SAP publicó actualizaciones de seguridad para múltiples productos, incluyendo correcciones para dos vulnerabilidades críticas (9.9/10) en SAP NetWeaver.
- SonicWall lanzó parches para una vulnerabilidad de bypass de autenticación en SSL VPN y SSH management que es susceptible a explotaciones reales.
- Zyxel publicó actualizaciones de seguridad para corregir una vulnerabilidad de gestión inadecuada de privilegios en la interfaz web de administración.