Microsoft lanzó las actualizaciones de seguridad Patch Tuesday correspondientes al mes de enero de 2024, abordando un total de 53 vulnerabilidades. Entre ellas se incluyen dos clasificadas como críticas y 47 consideradas importantes según su gravedad.
Vulnerabilidades críticas
Las dos vulnerabilidades críticas abordadas en las actualizaciones son:
- CVE-2024-20700: Vulnerabilidad de ejecución remota de código en Windows Hyper-V. La explotación exitosa requiere que un atacante primero obtenga acceso a la red restringida antes de lanzar el ataque.
- CVE-2024-20674: Vulnerabilidad de omisión de la función de seguridad Kerberos en Windows. Un atacante no autenticado podría aprovechar esta vulnerabilidad estableciendo un ataque de máquina en el medio (MiTM) o utilizando otra técnica de suplantación de red local, y luego enviar un mensaje Kerberos malicioso a la máquina víctima para simular ser el servidor de autenticación Kerberos. El descubrimiento e informe de esta vulnerabilidad se atribuyen al investigador de seguridad ldwilmore34.
Otras vulnerabilidades notables
Entre las otras fallas abordadas destacan:
- CVE-2024-20653: Falla de escalamiento de privilegios que afecta al controlador Common Log File System (CLFS), con una puntuación CVSS de 7.8.
- CVE-2024-0056: Omisión de seguridad que afecta a system.Data.SqlClient y Microsoft.Data.SqlClient, con una puntuación CVSS de 8.7.
Además, Microsoft deshabilitó por defecto la capacidad de insertar archivos FBX en Word, Excel, PowerPoint y Outlook en Windows debido a una vulnerabilidad (CVE-2024-20677) que podría permitir la ejecución remota de código.
Actualizaciones de otros vendedores
La lista completa de vulnerabilidades abordadas por Microsoft está disponible aquí.
Los principales vendedores que publicaron actualizaciones de seguridad en el mes de enero incluyen:
- Adobe
- AMD
- Android
- Arm
- ASUS
- Bosch
- Cisco
- Dell
- F5
- Fortinet
- Google Chrome
- Google Cloud
- HP
- IBM
- Intel
- Lenovo
- Linux distributions (Debian, Oracle Linux, Red Hat, SUSE, Ubuntu)
- MediaTek
- NETGEAR
- Qualcomm
- Samsung
- SAP
- Schneider Electric
- Siemens
- Splunk
- Synology
- Trend Micro
- Zimbra
- Zoom