Microsoft lanz贸 su conjunto final de actualizaciones de Patch Tuesday para 2023, cerrando 33 fallas en su software. Este lanzamiento se considera uno de los m谩s ligeros de los 煤ltimos a帽os.
De las 33 vulnerabilidades, cuatro se consideran cr铆ticas y 29 importantes. Las correcciones incluyen 18 fallas resueltas en el navegador Edge basado en Chromium desde el lanzamiento del mes anterior.
Seg煤n datos de Zero Day Initiative, Microsoft parche贸 m谩s de 900 fallas este a帽o, lo que lo convierte en uno de los a帽os con mayor actividad para las actualizaciones de seguridad. En comparaci贸n, Redmond resolvi贸 917 CVE en 2022.
Ninguna de las vulnerabilidades figura como conocida p煤blicamente o bajo ataque activo al momento del lanzamiento. Algunas de las m谩s notables incluyen:
- CVE-2023-35628 (CVSS 8.1): Vulnerabilidad de ejecuci贸n remota de c贸digo en Windows MSHTML Platform.
- CVE-2023-35630 (CVSS 8.8): Vulnerabilidad de ejecuci贸n remota de c贸digo en Internet Connection Sharing (ICS).
- CVE-2023-35636 (CVSS 6.5): Vulnerabilidad de divulgaci贸n de informaci贸n en Microsoft Outlook.
- CVE-2023-35639 (CVSS 8.8): Vulnerabilidad de ejecuci贸n remota de c贸digo en el driver ODBC de Microsoft.
- CVE-2023-35641 (CVSS 8.8): Vulnerabilidad de ejecuci贸n remota de c贸digo en Internet Connection Sharing (ICS).
- CVE-2023-35642 (CVSS 6.5): Vulnerabilidad de denegaci贸n de servicio en Internet Connection Sharing (ICS).
- CVE-2023-36019 (CVSS 9.6): Vulnerabilidad de suplantaci贸n en Microsoft Power Platform Connector.
Microsoft tambi茅n soluciona tres fallas en el servicio del servidor del protocolo DHCP que podr铆an provocar una denegaci贸n de servicio o divulgaci贸n de informaci贸n:
- CVE-2023-35638 (CVSS 7.5): Vulnerabilidad de denegaci贸n de servicio en el servicio DHCP Server.
- CVE-2023-35643 (CVSS 7.5): Vulnerabilidad de divulgaci贸n de informaci贸n en el servicio DHCP Server.
- CVE-2023-36012 (CVSS 5.3): Vulnerabilidad de divulgaci贸n de informaci贸n en el servicio DHCP Server.
La divulgaci贸n tambi茅n se produce cuando Akamai descubri贸 un nuevo conjunto de ataques contra dominios de Active Directory que utilizan servidores DHCP de Microsoft. Estos ataques podr铆an permitir a los atacantes falsificar registros DNS, lo que tendr铆a diversas consecuencias, desde el robo de credenciales hasta el compromiso total del dominio de Active Directory.
Microsoft respondi贸 indicando que los problemas son por dise帽o o no son lo suficientemente graves como para recibir una soluci贸n. La empresa recomend贸 deshabilitar las actualizaciones din谩micas de DNS de DHCP si no son necesarias y abstenerse de usar DNSUpdateProxy.
Otros softwares con actualizaciones en diciembre
- Amazon Web Services
- Android
- Apache Projects (incluyendo Apache Struts)
- Apple
- Arm
- Atlassian
- Atos
- Cisco
- CODESYS
- Dell
- Drupal
- F5
- Fortinet
- GitLab
- Google Chrome
- Google Chromecast
- Google Cloud
- Google Wear OS
- Hikvision
- Hitachi Energy
- HP
- IBM
- Jenkins
- Lenovo
- Linux distributions (Debian, Oracle Linux, Red Hat, SUSE, Ubuntu)
- MediaTek (incluyendo 5Ghoul)
- Mitsubishi Electric
- Mozilla Firefox, Firefox ESR y Thunderbird
- NETGEAR
- NVIDIA
- Qualcomm (incluyendo 5Ghoul)
- Samsung
- SAP
- Schneider Electric
- Siemens
- SolarWinds
- SonicWall
- Sophos (backports un parche para CVE-2022-3236 a versiones no soportadas del Sophos Firewall)
- Spring Framework
- Veritas
- VMware
- WordPress
- Zoom
- Zyxel