El parche de mayo de Microsoft corrige 38 fallas

Microsoft ha lanzado actualizaciones de Patch Tuesday para mayo de 2023 para abordar 38 fallas de seguridad, incluido un error de día cero que, según dijo, se está explotando activamente en la naturaleza.

Zero Day Initiative (ZDI) de Trend Micro dijo que el volumen es el más bajo desde agosto de 2021, aunque señaló que "se espera que este número aumente en los próximos meses".

De las 38 vulnerabilidades, seis están clasificadas como críticas y 32 están clasificadas como importantes en gravedad. Ocho de las fallas han sido etiquetadas con la evaluación "Explotación más probable" por parte de Microsoft.

Esto es aparte de 18 defectos, incluidos 11 errores desde principios de mayo, el fabricante de Windows resolvió en su navegador Edge basado en Chromium después del lanzamiento de las actualizaciones de April Patch Tuesday.

Encabezando la lista está CVE-2023-29336 (puntuación CVSS: 7.8 ), una falla de escalada de privilegios en Win32k que ha sido objeto de explotación activa. No está claro de inmediato qué tan extendidos están los ataques.

"Un atacante que explotara con éxito esta vulnerabilidad podría obtener privilegios de SYSTEM", dijo Microsoft, acreditando a los investigadores de Avast Jan Vojtěšek, Milánek y Luigino Camastra por informar de la falla.

El desarrollo ha llevado a la Agencia de Seguridad de Ciberseguridad e Infraestructura de los Estados Unidos (CISA) a agregar la falla a su catálogo de vulnerabilidades explotadas conocidas (KEV), instando a las organizaciones a aplicar correcciones de proveedores antes del 30 de mayo de 2023.

También son de destacar dos defectos conocidos públicamente, uno de los cuales es un error crítico de ejecución remota de código que afecta al OLE de Windows (CVE-2023-29325, puntuación CVSS: 8.1) que podría ser armado por un actor enviando un correo electrónico especialmente diseñado a la víctima.

Microsoft, como mitigación, recomienda que los usuarios lean los mensajes de correo electrónico en formato de texto sin formato para protegerse contra esta vulnerabilidad.

La segunda vulnerabilidad conocida públicamente es CVE-2023-24932 (puntuación CVSS: 6.7), una omisión de la función de seguridad de arranque seguro que está armada por el kit de arranque BlackLotus UEFI para explotar CVE-2022-21894 (también conocido como Baton Drop), que se resolvió en enero de 2022.

"Esta vulnerabilidad permite a un atacante ejecutar código autofirmado en el nivel de Unified Extensible Firmware Interface (UEFI) mientras Secure Boot está habilitado", dijo Microsoft en una guía separada.

"Esto es utilizado por los actores de amenazas principalmente como un mecanismo de persistencia y evasión de defensa. La explotación exitosa depende de que el atacante tenga acceso físico o privilegios de administrador local en el dispositivo objetivo".

Vale la pena señalar que la corrección incluida por Microsoft está deshabilitada de forma predeterminada y requiere que los clientes apliquen manualmente las revocaciones, pero no antes de actualizar todos los medios de arranque.

"Una vez que la mitigación de este problema está habilitada en un dispositivo, lo que significa que se han aplicado las revocaciones, no se puede revertir si continúa usando el arranque seguro en ese dispositivo", advirtió Microsoft. "Incluso el reformateo del disco no eliminará las revocaciones si ya se han aplicado".

El gigante tecnológico dijo que está adoptando un enfoque gradual para tapar completamente el vector de ataque para evitar riesgos de interrupción involuntarios, un ejercicio que se espera que se extienda hasta el primer trimestre de 2024.

"Los esquemas modernos de arranque seguro basados en UEFI son extremadamente complicados de configurar correctamente y / o reducir sus superficies de ataque de manera significativa", señaló la firma de seguridad de firmware Binarly a principios de marzo. "Dicho esto, no es probable que los ataques de bootloader desaparezcan pronto".

Parches de software de otros proveedores

Además de Microsoft, otros proveedores también han lanzado actualizaciones de seguridad en las últimas semanas para rectificar varias vulnerabilidades, que incluyen:

• Adobe
• AMD
• Androide
• Proyectos Apache
• Manzana
• Redes de Aruba
• Cisco
• Citrix
• Dell
• Drupal
• F5
• Fortinet
• GitLab
• Google Chrome
• Energía Hitachi
• HP
• IBM
• Intel
• Juniper Networks
• Lenovo-
• Distribuciones Linux Debian, Oracle Linux, Red Hat, SUSE y Ubuntu
• MediaTek
• Mitsubishi Eléctrico
• Mozilla Firefox, Firefox ESR y Thunderbird
• NETGEAR
• NVIDIA
• Redes de Palo Alto
• Qualcomm
• Samsung
• SAVIA
• Schneider Electric
• Siemens
• SolarWinds
• Synology
• Veritas
• VMware
• Zoho, y
• Zyxel

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta