Microsoft lanzó parches para abordar 73 vulnerabilidades de seguridad en su gama de software como parte de sus actualizaciones del Patch Tuesday correspondiente a febrero de 2024.
Vulnerabilidades críticas y graves
De las 73 vulnerabilidades identificadas, 5 fueron clasificadas como críticas, 65 como graves y 3 como leves.
Actualizaciones adicionales en Edge
Las correcciones se suman a las 24 fallas resueltas en el navegador Edge basado en Chromium desde la última ronda de actualizaciones del Patch Tuesday el 24 de enero.
Vulnerabilidades bajo ataque activo
Dos vulnerabilidades están siendo objeto de ataques activos en el momento del lanzamiento de los parches.
Detalles de las vulnerabilidades críticas
- CVE-2024-21351 (puntuación CVSS: 7.6) es una vulnerabilidad de Bypass de la Función de Seguridad SmartScreen de Windows.
- CVE-2024-21412 (puntuación CVSS: 8.1) es una vulnerabilidad de Bypass de la Función de Seguridad de Archivos de Acceso Directo a Internet.
Riesgos asociados
La vulnerabilidad CVE-2024-21351 permite a un actor malintencionado inyectar código en SmartScreen y potencialmente obtener ejecución de código, lo que podría conducir a una exposición de datos, falta de disponibilidad del sistema o ambas cosas.
La explotación exitosa de la vulnerabilidad CVE-2024-21412 podría permitir a un atacante eludir las protecciones de SmartScreen y ejecutar código arbitrario. Sin embargo, para que el ataque funcione, el actor de amenazas debe enviar al usuario un archivo malicioso y convencerlo de abrirlo.
Historial de vulnerabilidades
CVE-2024-21351 es el segundo error de bypass descubierto después de CVE-2023-36025, solucionado por Microsoft en noviembre de 2023.
Uso malicioso de las vulnerabilidades
Múltiples grupos maliciosos han aprovechado la vulnerabilidad CVE-2024-21351 para distribuir malware como DarkGate, Phemedrone Stealer y Mispadu.
Trend Micro ha detallado una campaña de ataque dirigida por Water Hydra (también conocido como DarkCasino) que aprovecha CVE-2024-21412.
Características de la campaña
Esta campaña está dirigida a traders del mercado financiero mediante una sofisticada cadena de ataque zero-day.
Water Hydra, detectado por primera vez en 2021, tiene un historial de lanzar ataques contra diversas entidades financieras y de apuestas utilizando exploits zero-day.
Vulnerabilidades añadidas al catálogo KEV
Ambas vulnerabilidades han sido añadidas al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) por la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. (CISA).
CISA insta a las agencias federales a aplicar las últimas actualizaciones antes del 5 de marzo de 2024.
Correcciones adicionales
Microsoft también ha parcheado cinco fallas críticas, incluyendo CVE-2024-20684 (puntuación CVSS: 6.5), CVE-2024-21357 (puntuación CVSS: 7.5), CVE-2024-21380 (puntuación CVSS: 8.0), CVE-2024-21410 (puntuación CVSS: 9.8) y CVE-2024-21413 (puntuación CVSS: 9.8).
CVE-2024-21410 es una vulnerabilidad de elevación de privilegios en Microsoft Exchange Server. Según Microsoft, esta falla es más probable que sea explotada por atacantes.
Vulnerabilidades en SQL Server
La actualización de seguridad también aborda 15 vulnerabilidades de ejecución remota de código en el proveedor OLE DB de WDAC de Microsoft para SQL Server.
Vulnerabilidad de diseño DNSSEC
CVE-2023-50387 es una vulnerabilidad de diseño de 24 años en la especificación de DNSSEC bautizada como KeyTrap por el Centro Nacional de Investigación para la Ciberseguridad Aplicada (ATHENE) en Darmstadt.
Esta vulnerabilidad puede ser usada para agotar los recursos de la CPU y detener las DNS, lo que conllevaría en una denegación de servicio (DoS).