El martes 4 de junio, Microsoft lanzó un conjunto de actualizaciones de seguridad que abordan 51 fallas, incluyendo 18 vulnerabilidades de ejecución remota de código (RCE) y una vulnerabilidad Zero-Day divulgada públicamente. Las actualizaciones se distribuyen entre varias categorías de riesgo.
Detalles de las vulnerabilidades
Entre los problemas corregidos, destacan 25 vulnerabilidades de elevación de privilegios, 18 RCE, 3 de divulgación de información y 5 de denegación de servicio. El recuento total no incluye las 7 fallas de Microsoft Edge que se solucionaron el 3 de junio.
Además, se corrigieron múltiples vulnerabilidades de ejecución remota de código en productos como Microsoft Office y Outlook, así como una vulnerabilidad RCE en Microsoft Message Queuing (MSMQ). También se abordaron siete fallas de elevación de privilegios del kernel de Windows que podrían permitir a un atacante local obtener privilegios de SYSTEM.
Vulnerabilidad Zero-Day divulgada
Microsoft incluyó en las actualizaciones una vulnerabilidad Zero-Day, clasificada como un día cero. Esta se refiere a una falla que fue divulgada públicamente o explotada activamente sin solución disponible. La vulnerabilidad afecta al protocolo DNS y se conoce como el ataque «Keytrap», previamente revelado en febrero.
El CVE asociado es CVE-2023-50868, que corresponde a un problema en la validación de DNSSEC. Un atacante podría explotar este protocolo para causar una denegación de servicio al saturar el CPU del solucionador DNS.
Esta vulnerabilidad fue corregida previamente en varias implementaciones de DNS, incluyendo BIND, PowerDNS, Unbound, Knot Resolver y Dnsmasq. La solución se incorpora ahora a las actualizaciones de Microsoft.
Vulnerabilidades corregidas por otras empresas
- Apple: Corrigió 21 fallas de seguridad en la versión visionOS 1.2.
- ARM: Solucionó un error activamente explotado en los controladores del kernel de Mali GPU.
- Cisco: Publicó actualizaciones de seguridad para Cisco Finesse y Webex.
- Cox: Arregló una vulnerabilidad de bypass de autenticación API que afectaba a millones de modems.
- F5: Lanzó parches de seguridad para dos fallos graves en la API del BIG-IP Next Central Manager.
- PHP: Corrigió una vulnerabilidad crítica de ejecución remota de código que fue explotada por ransomware.
- TikTok: Solucionó un error cero-día en su función de mensajes directos, utilizado para hijackear cuentas de alto perfil.
- VMware: Arregló tres errores cero-día explotados durante Pwn2Own 2024.
- Zyxel: Publicó un parche de emergencia para una vulnerabilidad RCE en dispositivos NAS finalizados.
Las actualizaciones se pueden revisar en los artículos dedicados a las versiones Windows 10 y Windows 11 publicados por Bleeping Computer.