Recientemente, Microsoft lanzó correcciones de seguridad para 87 vulnerabilidades. El “Patch Tuesday” de este mes también incluye soluciones para dos vulnerabilidades que estaban siendo activamente explotadas por ciberdelincuentes. El boletín oficial de Redmond comprende avisos de seguridad para Teams, Exchange Server, .NET Core, Visual Studio, Azure, Hyper-V y varios componentes de Windows.
Se clasificaron seis vulnerabilidades como “críticas”, mientras que 23 fallas podrían ser explotadas para ejecutar código potencialmente malicioso desde ubicaciones remotas. En general, las vulnerabilidades corregidas por el último “Patch Tuesday” se clasifican de la siguiente manera: 18 vulnerabilidades de elevación de privilegios, tres vulnerabilidades de bypass de características de seguridad, 23 vulnerabilidades de ejecución remota de código, 10 vulnerabilidades de divulgación de información, ocho vulnerabilidades de denegación de servicio y 12 vulnerabilidades de suplantación.
Las actualizaciones no incluyen 20 correcciones de seguridad para el navegador Edge basado en Chromium, que Microsoft lanzó a principios de este mes. Bleeping Computer ha publicado un informe completo sobre todas las vulnerabilidades corregidas y las advertencias relacionadas. El “Patch Tuesday” incluye una advertencia (ADV230003) sobre una Actualización de Defensa en Profundidad de Microsoft Office, diseñada para proporcionar una seguridad mejorada para la suite de productividad de Redmond. La actualización bloquea una cadena de ataque que podría llevar a CVE-2023-36884, una vulnerabilidad de ejecución remota de código previamente mitigada en la función de búsqueda de Windows. Esta falla podría eludir la característica de seguridad “Mark of the Web” (MoTW), instando a los usuarios a descargar y abrir archivos maliciosos sin mostrar una advertencia de seguridad.
La vulnerabilidad de día cero ya había sido explotada en una operación de ransomware por el grupo de piratería RomCom. Sin embargo, ahora debería estar corregida (y no explotable) de manera definitiva. El segundo fallo de día cero abordado este mes es una Vulnerabilidad de Denegación de Servicio en .NET y Visual Studio (CVE-2023-38180), capaz de causar una denegación de servicio contra aplicaciones .NET y el IDE de Visual Studio. Microsoft no proporcionó detalles adicionales sobre esta falla.
Microsoft implementó su última serie de parches a través de Windows Update, sistemas de gestión de actualizaciones como WSUS y como descargas directas disponibles en el Catálogo de Actualizaciones de Microsoft. Otras empresas que proporcionan correcciones de seguridad en sincronización con el “Patch Tuesday” de agosto de 2023 incluyen a Adobe, AMD, Cisco, Google, SAP y VMware.
Vía: Techspot
Nota del editor: Siempre hay que mantener los equipos actualizados, aunque en ocasiones sirve no ser de las primeras personas en instalar las actualizaciones, en la mayoría de los casos logran evitar problemas. La buena noticia es que en la actualidad los problemas que puedan actualizar nuevas versiones de software suelen solucionarse en poco tiempo.
