El paquete Patch Tuesday de Microsoft para este mes es grande: 74 vulnerabilidades documentadas en múltiples productos y componentes de Windows, algunas lo suficientemente graves como para conducir a ataques de ejecución remota de código.
El gigante del software con sede en Redmond, Washington, advirtió que el código de explotación está disponible públicamente para tres de las vulnerabilidades parcheadas: errores de ejecución remota de código en Remote Desktop Client y .NET y Visual Studio, y una falla de escalada de privilegios en el servicio Windows Fax and Scan. .
“En el caso de una conexión de Escritorio remoto, un atacante con control de un Servidor de escritorio remoto podría desencadenar una ejecución remota de código (RCE) en la máquina cliente RDP cuando una víctima se conecta al servidor atacante con el Cliente de Escritorio remoto vulnerable”, Microsoft explicado en un 'importante' asesor.
El lote de parches de marzo contiene correcciones para tres problemas calificados como "críticos", la calificación de gravedad más alta de Microsoft. Estos incluyen vulnerabilidades de ejecución remota de código en Microsoft Exchange Server y las extensiones de video HEVC y VP0.
Microsoft dijo que no tenía evidencia de que alguna de las vulnerabilidades fuera explotada en la naturaleza como día cero.
[ PREVIAMENTE: Martes de parches: falla de Windows bajo ataque activo ]
Los rastreadores de vulnerabilidades de Zero Day Initiative llaman especialmente la atención sobre la falla del servidor Microsoft Exchange, CVE-2022-23277, como una que debe probarse e implementarse con urgencia.
“La vulnerabilidad [de Exchange Server] permitiría a un atacante autenticado ejecutar su código con privilegios elevados a través de una llamada de red. Esto también aparece como de baja complejidad con mayor probabilidad de explotación, por lo que no me sorprendería ver este error explotado pronto, a pesar del requisito de autenticación. Pruebe e implemente esto en sus servidores de Exchange rápidamente”, ZDI instó en una publicación de blog.
Los parches de Microsoft también cubren numerosos problemas de ejecución de código, denegación de servicio y elevación de privilegios en Azure Site Recovery y errores adicionales en Microsoft Defender, Microsoft Office y Windows Event Tracing.
Los parches de Microsoft se lanzaron horas después de que el fabricante de software Adobe lanzara actualizaciones de seguridad urgentes para abordar las vulnerabilidades de ejecución de código en los productos Illustrator y After Effects.
Los parches de Adobe cubren la ejecución de código arbitrario y las vulnerabilidades de pérdida de memoria que podrían exponer los datos a ataques de piratas informáticos maliciosos.
[ LEER: Microsoft llama la atención sobre la falla de seguridad de Windows 'Wormable' ]
La vulnerabilidad más grave se solucionó en Adobe Illustrator, el popular programa de diseño de gráficos vectoriales disponible para los sistemas macOS y Windows.
En una asesor, Adobe calificó la falla de Illustrator como "crítica" con un puntaje base CVSS de 7.8. La compañía describió el error CVE-2022-23187 como un desbordamiento de búfer que afecta a Illustrator 2022 versión 26.0.3 (y versiones anteriores) en máquinas con Windows y macOS.
Adobe insta encarecidamente a los usuarios a actualizar a Illustrator 2022, versión 26.1.0.
Adobe, con sede en San José, California, también emitió una alerta separada para advertir sobre al menos cuatro fallas críticas que acosan a los usuarios de After Effects, otro producto de software popular utilizado en proyectos creativos de gráficos en movimiento.
El cuarteto de errores se describe como desbordamientos de búfer basados en pilas que podrían permitir ataques de adquisición de computadoras.
Relacionado: Martes de parches de Microsoft: falla de Windows bajo ataque activo
Relacionado: Microsoft Office Zero-Day Hit en ataques dirigidos
Relacionado: Adobe se une a Security Patch Tuesday Frenzy
Relacionado: Adobe advierte sobre fallas críticas en Magento, Connect
Relacionado: ¿Microsoft estropeó el parche de PrintNightmare?
Ryan Naraine es editor general de SecurityWeek y presentador de la popular Conversaciones de seguridad Serie Podcast. Es periodista y estratega de ciberseguridad con más de 20 años de experiencia cubriendo tendencias tecnológicas y de seguridad de TI.
Ryan ha creado programas de compromiso de seguridad en las principales marcas mundiales, incluidas Intel Corp., Bishop Fox y Kaspersky GReAT. Es cofundador de Threatpost y de la serie de conferencias globales SAS. La carrera de Ryan como periodista incluye firmas en las principales publicaciones de tecnología, incluidas Ziff Davis eWEEK, ZDNet de CBS Interactive, PCMag y PC World.
Ryan es director de la organización sin fines de lucro Security Tinkerers y un orador habitual en conferencias de seguridad en todo el mundo.
Sigue a Ryan en Twitter @ryanaraine.
Tags:
- Coinsmart. El mejor intercambio de Bitcoin y criptografía de Europa.
- Platoblockchain. Inteligencia del Metaverso Web3. Conocimiento amplificado. ACCESO LIBRE.
- CriptoHawk. Radar de altcoins. Prueba gratis.
- Fuente: https://www.securityweek.com/patch-tuesday-microsoft-fixes-multiple-code-execution-flaws
