Microsoft lanza las actualizaciones de octubre de 2023 para 103 vulnerabilidades, incluyendo 2 exploits activos
Microsoft ha lanzado sus actualizaciones de Patch Tuesday para octubre de 2023, abordando un total de 103 vulnerabilidades en su software, dos de las cuales han sido explotadas activamente en la naturaleza.
De las 103 vulnerabilidades, 13 se califican como críticas y 90 se califican como importantes en gravedad. Esto es aparte de las 18 vulnerabilidades de seguridad abordadas en su navegador Edge basado en Chromium desde el segundo martes de septiembre.
Las dos vulnerabilidades que se han utilizado como zero-days son las siguientes:
CVE-2023-36563 (puntuación CVSS: 6.5) - Una vulnerabilidad de divulgación de información en Microsoft WordPad que podría resultar en la filtración de hashes NTLM.
CVE-2023-41763 (puntuación CVSS: 5.3) - Una vulnerabilidad de escalada de privilegios en Skype for Business que podría llevar a la exposición de información sensible, como direcciones IP o números de puerto (o ambos), permitiendo que actores de amenazas obtengan acceso a redes internas.
"Para explotar esta vulnerabilidad, un atacante primero tendría que iniciar sesión en el sistema. Luego, un atacante podría ejecutar una aplicación especialmente diseñada que podría explotar la vulnerabilidad y tomar el control de un sistema afectado", dijo Microsoft en un aviso para CVE-2023-36563.
"Además, un atacante podría convencer a un usuario local para que abra un archivo malicioso. El atacante tendría que persuadir al usuario para que haga clic en un enlace, generalmente a través de un incentivo en un correo electrónico o mensaje instantáneo, y luego persuadirlo para que abra el archivo especialmente diseñado".
Redmond también ha solucionado docenas de vulnerabilidades que afectan a Microsoft Message Queuing (MSMQ) y al Protocolo de Túneles de Capa 2 que podrían llevar a la ejecución de código remoto y a la denegación de servicio (DoS).
La actualización de seguridad resuelve además un grave error de escalada de privilegios en Windows IIS Server (CVE-2023-36434, puntuación CVSS: 9.8) que podría permitir que un atacante se haga pasar por otro usuario mediante un ataque de fuerza bruta.
El gigante tecnológico también ha lanzado una actualización para CVE-2023-44487, también conocido como el ataque de reinicio rápido HTTP/2, que ha sido explotado por actores desconocidos como zero-day para llevar a cabo ataques de denegación de servicio distribuido (DDoS) hiper-volumétricos.
"Aunque este DDoS tiene el potencial de afectar la disponibilidad del servicio, por sí solo no conduce a la compromisión de datos del cliente, y hasta el momento no hemos visto evidencia de que los datos del cliente hayan sido comprometidos", dijo.
Finalmente, Microsoft ha anunciado que Visual Basic Script (también conocido como VBScript), que a menudo se utiliza para la distribución de malware, se está descontinuando, y agregó: "en futuras versiones de Windows, VBScript estará disponible como una característica bajo demanda antes de su eliminación del sistema operativo."
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.
Comentarios
Publicar un comentario