Martes de parche de Microsoft: corrige 66 vulnerabilidades de día cero explotada

AXCESS · Junio 10, 2025, 11:55:10 PM

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Martes de Parches de junio de 2025 de Microsoft, que incluye actualizaciones de seguridad para 66 vulnerabilidades, incluyendo una vulnerabilidad explotada activamente y otra divulgada públicamente.

Este Martes de Parches también corrige diez vulnerabilidades "críticas": ocho de ellas son vulnerabilidades de ejecución remota de código y dos son errores de elevación de privilegios.

El número de errores en cada categoría de vulnerabilidad se detalla a continuación:

13 vulnerabilidades de elevación de privilegios

3 vulnerabilidades de omisión de funciones de seguridad

25 vulnerabilidades de ejecución remota de código

17 vulnerabilidades de divulgación de información

6 vulnerabilidades de denegación de servicio

2 vulnerabilidades de suplantación de identidad

Este recuento no incluye las vulnerabilidades de Mariner, Microsoft Edge y Power Automate corregidas a principios de este mes.

Dos vulnerabilidades de día cero

El martes de parches de este mes corrige una vulnerabilidad de día cero explotada activamente y una vulnerabilidad divulgada públicamente. Microsoft clasifica una vulnerabilidad de día cero como divulgada públicamente o explotada activamente mientras no haya una solución oficial disponible.

La vulnerabilidad de día cero explotada activamente en las actualizaciones de hoy es:

CVE-2025-33053 - Vulnerabilidad de ejecución remota de código en Autoría y control de versiones web distribuidos (WEBDAV)

Microsoft corrigió una vulnerabilidad de ejecución remota de código descubierta por Check Point Research.

"Existe una vulnerabilidad de ejecución remota de código en Autoría y control de versiones web distribuidos de Microsoft Windows. La explotación exitosa de esta vulnerabilidad podría permitir que un atacante remoto ejecute código arbitrario en el sistema afectado", afirma un aviso de Check Point Research.

El aviso de Microsoft también indica que el usuario debe hacer clic en una URL de WebDAV especialmente diseñada para explotar la vulnerabilidad.

Un nuevo informe de Check Point Research explica que la vulnerabilidad CVE-2025-33053 fue explotada en ataques de día cero por un grupo APT llamado "Stealth Falcon".

"En marzo de 2025, Check Point Research identificó un intento de ciberataque contra una empresa de defensa en Turquía", explicó Check Point.

"Los actores de amenazas utilizaron una técnica no revelada previamente para ejecutar archivos alojados en un servidor WebDAV que controlaban, manipulando el directorio de trabajo de una herramienta legítima integrada en Windows".

"Tras una divulgación responsable, Microsoft asignó la vulnerabilidad CVE-2025-33053 y lanzó un parche el 10 de junio de 2025, como parte de sus actualizaciones del martes de parches de junio".

Microsoft atribuye el descubrimiento de esta vulnerabilidad a Alexandra Gofman y David Driker (Check Point Research).

La vulnerabilidad de día cero divulgada públicamente es:

CVE-2025-33073 - Vulnerabilidad de elevación de privilegios en el cliente SMB de Windows

Microsoft corrige una falla en SMB de Windows que permite a los atacantes obtener privilegios de sistema en dispositivos vulnerables.

«Un control de acceso inadecuado en SMB de Windows permite a un atacante autorizado elevar privilegios en una red», explica Microsoft.

Para explotar esta vulnerabilidad, un atacante podría ejecutar un script malicioso especialmente diseñado para obligar a la máquina víctima a conectarse de nuevo al sistema de ataque mediante SMB y autenticarse. Esto podría resultar en una elevación de privilegios, explica Microsoft.

Microsoft no ha compartido cómo se divulgó públicamente la falla. Sin embargo, Born City informa que DFN-CERT (Equipo de Respuesta a Emergencias Informáticas de la Red de Investigación Alemana) comenzó a difundir advertencias de RedTeam Pentesting sobre la falla esta semana.

Si bien ya hay una actualización disponible, la falla se puede mitigar al aplicar la firma SMB del lado del servidor mediante la directiva de grupo.

Microsoft atribuye el descubrimiento de esta falla a varios investigadores, entre ellos Keisuke Hirata de CrowdStrike, Synacktiv research de Synacktiv, Stefan Walter de SySS GmbH, RedTeam Pentesting GmbH y James Forshaw de Google Project Zero.

Actualizaciones recientes de otras empresas

Otros proveedores que publicaron actualizaciones o avisos en junio de 2025 incluyen:

Adobe publicó actualizaciones de seguridad para InCopy, Experience Manager, Commerce, InDesign, Substance 3D Sampler, Acrobat Reader y Substance 3D Painter.

Cisco publicó parches para tres vulnerabilidades con código de explotación público en sus productos Identity Services Engine (ISE) y Customer Collaboration Platform (CCP).

Fortinet publicó actualizaciones de seguridad para una vulnerabilidad de comando del sistema operativo ('OS Command Injection') en los productos FortiManager, FortiAnalyzer y FortiAnalyzer-BigData.

Las actualizaciones de seguridad de Google de junio de 2025 para Android corrigen numerosas vulnerabilidades. Google también corrigió una vulnerabilidad de día cero de Google Chrome que se explotaba activamente. Hewlett Packard Enterprise (HPE) publicó actualizaciones de seguridad para corregir ocho vulnerabilidades que afectan a StoreOnce.

Ivanti publicó actualizaciones de seguridad para corregir tres vulnerabilidades clave de alta gravedad, codificadas de forma rígida, en Workspace Control (IWC).

Qualcomm publicó actualizaciones de seguridad para tres vulnerabilidades de día cero en el controlador de la unidad de procesamiento gráfico (GPU) Adreno, que se explotan en ataques dirigidos.

Roundcube publicó actualizaciones de seguridad para una falla crítica de ejecución remota de código (RCE) con un exploit público que ahora se explota en ataques.

SAP publicó actualizaciones de seguridad para varios productos, incluyendo una comprobación de autorización crítica faltante en SAP NetWeaver Application Server para ABAP.

Actualizaciones de seguridad del martes de parches de junio de 2025

A continuación, se muestra la lista completa de vulnerabilidades resueltas en las actualizaciones del martes de parches de junio de 2025.

Para acceder a la descripción completa de cada vulnerabilidad y los sistemas que afecta, puede consultar el informe completo:

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Fuente:
BleepingComputer
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Martes de parche de Microsoft: corrige 66 vulnerabilidades de día cero explotada

AXCESS

Junio 10, 2025, 11:55:10 PM