Microsoft lanzó una actualización de seguridad el martes de septiembre que aborda cinco vulnerabilidades críticas, junto con dos Zero-Days calificados como «importantes» y bajo ataque activo. En total, la compañía solucionó 61 vulnerabilidades en toda su gama de productos, incluyendo Windows, Exchange Server, Office, .NET, Visual Studio, Azure, Microsoft Dynamics y Windows Defender.
Vulnerabilidades externas
La actualización también incorpora un puñado de problemas de terceros, entre ellos un error crítico Zero-Day en Chromium activamente explotado. Este afecta a Microsoft Edge y Google Chrome. Con estos parches «externos», el número total de CVE asciende a 66.
Zero-Days bajo explotación activa
Dos de los CVE figuran como utilizados por actores de amenazas en la naturaleza antes de aplicar el parche, aunque solo uno se encuentra en conocimiento público. Ambos deberían estar en la parte superior de la lista de parches.
El error público se encuentra en Microsoft Word (CVE-2023-36761), clasificado como un problema de «divulgación de información». Dustin Childs, investigador de Trend Micro’s Zero Day Initiative (ZDI), señaló que esto contradice su gravedad. Un atacante podría usar esta vulnerabilidad para permitir la divulgación de hashes NTLM, lo cual se utilizaría en un ataque estilo retransmisión NTLM.
El otro Zero-Day existe en el sistema operativo Windows (CVE-2023-36802), concretamente en el proxy del servicio de streaming de Microsoft Stream. Para una explotación exitosa, un atacante necesitaría ejecutar un programa especialmente diseñado que permitiría escalar privilegios como administrator o system.
Vulnerabilidades críticas
CVE-2023-29332, en el servicio Azure Kubernetes de Microsoft, podría permitir que un atacante remoto y no autenticado obtenga privilegios de administración del clúster de Kubernetes. Este se destaca porque puede accederse desde Internet, no requiere interacción del usuario y está catalogado como de baja complejidad.
Tres de los parches calificados como críticos son problemas de RCE que afectan a Visual Studio (CVE-2023-36792, CVE-2023-36793 y CVE-2023-36796). Todos ellos podrían provocar la ejecución de código arbitrario al abrir un archivo de paquete malicioso con una versión afectada del software.
El último problema crítico es CVE-2023-38148 (CVSS 8.8, el más grave que Microsoft parchó este mes), que permite la ejecución remota de código no autenticado a través de la función Internet Connection Sharing (ICS) en Windows.
Vulnerabilidades en Exchange Server
El trío de problemas (CVE-2023-36744, CVE-2023-36745 y CVE-2023-36756) afectan a las versiones 2016-2019 y permiten ataques RCE contra el servicio. Si bien ninguno de estos ataques resulta en RCE en el servidor en sí, podría permitir que un atacante adyacente a la red con credenciales válidas altere los datos del usuario o obtenga un hash Net-NTLMv2 para una cuenta de usuario específica.
Vulnerabilidad de denegación de servicio
Los investigadores de Automox señalaron una vulnerabilidad de denegación de servicio (DoS) en Windows TCP/IP (CVE-2023-38149, CVSS 7.5) como una a priorizar. El error afecta a cualquier sistema en red y permite que un atacante a través de un vector de red interrumpa el servicio sin ninguna autenticación de usuario o alta complejidad.
Zero-Day crítico en Chrome
Se descubrió una vulnerabilidad Zero-Day con gravedad crítica en Google Chrome y se publicó una actualización de seguridad de emergencia de Chrome 116, después de que se observara activamente en la naturaleza. La vulnerabilidad se informó como «a heap buffer overflow in WebP». Los desbordamientos del búfer ocurren cuando una aplicación escribe más datos en un búfer de memoria de los que el búfer puede contener.
El problema fue informado por Apple Security Engineering and Architecture (SEAR) y el organismo de control de software espía The Citizen Lab el 6 de septiembre. Google informó que tiene conocimiento de que hay un exploit para el error, rastreado como CVE-2023-4863.