Microsoft ha lanzado actualizaciones mensuales de Patch Tuesday para octubre de 2022, reparando 85 vulnerabilidades. Si bien el gigante tecnológico ha configurado el parcheo automático de los sistemas, los usuarios deben asegurarse de verificar manualmente sus sistemas en busca de actualizaciones.
Actualizaciones de octubre del martes de parches de Microsoft
El martes de parches de octubre corrige 15 vulnerabilidades de gravedad crítica diferentes que afectan a los productos de Microsoft. Estos incluyen siete vulnerabilidades de ejecución remota de código en el Protocolo de túnel punto a punto de Windows. Mientras que otros problemas críticos incluyen fallas de RCE en Microsoft SharePoint Server, Microsoft Office y Microsoft Word, y vulnerabilidades de escalada de privilegios en Active Directory Certificate Services, clúster de Kubernetes habilitado para Azure Arc, Windows Hyper-V y una vulnerabilidad de suplantación de identidad en Windows CryptoAPI.
Además, el gigante tecnológico reparó 69 vulnerabilidades de alta gravedad en diferentes productos. Sin embargo, vale la pena mencionar aquí dos de ellos.
La primera es una vulnerabilidad de escalada de privilegios explotada activamente en el servicio del sistema de eventos COM+ de Windows. Al describir esta vulnerabilidad, CVE-2022-41033, en un aviso, Microsoft confirmó que detectó una explotación activa de la falla. La explotación de este problema permite a los atacantes obtener privilegios de SISTEMA en el dispositivo de destino. A esta vulnerabilidad se le ha asignado una puntuación CVSS de 7,8.
La segunda corrección de errores importante de este mes es para CVE-2022-41043. Aunque tiene un puntaje CVSS bajo de 3.3, la vulnerabilidad merece atención, dada la divulgación pública aleatoria antes de que llegue una solución. La falla existía en Microsoft Office, lo que resultó en la divulgación de información. Al describir el problema en su aviso, Microsoft dijo:
El tipo de información que podría revelarse si un atacante explotara con éxito esta vulnerabilidad son los tokens de usuario y otra información potencialmente confidencial.
Sin embargo, Microsoft ha confirmado que la funcionalidad del panel de vista previa no sirve como vector de ataque aquí. Además, la vulnerabilidad permaneció sin explotar a pesar de la divulgación pública.
También se están implementando actualizaciones para Microsoft Edge
Además, el gigante tecnológico parchó una única vulnerabilidad de gravedad moderada en Microsoft Edge. Esta falla, CVE-2022-41035, recibió un puntaje CVSS alto de 8.3, considerando la alta complejidad del ataque y la baja posibilidad debido a la gran cantidad de interacción del usuario requerida para activar la falla. Al describir este asunto, Microsoft explicó en su aviso,
En un escenario de ataque web, un atacante podría alojar un sitio web (u operar un sitio web comprometido que acepte o aloje contenido proporcionado por el usuario) que contenga un archivo especialmente diseñado para aprovechar la vulnerabilidad. Sin embargo, un atacante no tendría forma de obligar al usuario a visitar el sitio web. En su lugar, un atacante tendría que convencer al usuario para que haga clic en un enlace, generalmente por medio de un mensaje de correo electrónico o mensaje instantáneo, y luego convencer al usuario para que abra el archivo especialmente diseñado.
Sin embargo, una vez activada, esta vulnerabilidad de suplantación de identidad podría permitir que un atacante gane una condición de carrera.
Microsoft solucionó este problema con Edge build 106.0.1370.34, lanzado a principios de este mes.
Aunque los parches ya deberían haber llegado a todos los sistemas elegibles, los usuarios siempre deben verificar sus sistemas en busca de las últimas actualizaciones para evitar problemas de seguridad.
