Adobe, Apple, Google y Microsoft Corrigen errores de 0 días

Microsoft hoy se emitieron actualizaciones de software para corregir al menos cinco docenas de agujeros de seguridad en Ventanas y software compatible, incluidos parches para dos vulnerabilidades de día cero que ya están siendo explotadas. También, Adobe, Herramientas de Google Chrome y iOS de Apple los usuarios pueden tener que hacer sus propios parches de día cero.

El sept. 7, investigadores de Laboratorio Ciudadano advertido estaban viendo la explotación activa de un "clic cero", día cero falla para instalar spyware en dispositivos iOS sin ninguna interacción de la víctima.

"La cadena de exploits fue capaz de comprometer iPhones que ejecutan la última versión de iOS (16.6) sin ninguna interacción de la víctima", escribieron los investigadores.

Según Citizen Lab, el exploit utiliza imágenes maliciosas enviadas a través de Mensajes de iMessage, un componente integrado del iOS de Apple que ha sido la fuente de fallas previas de cero clics en iPhones y iPads.

Apple dice que la falla de iOS (CVE-2023-41064) no parece funcionar contra dispositivos que tienen su ultra-paranoico "Modo de Bloqueo"habilitado. Esta función restringe las funciones no esenciales de iOS para reducir la superficie de ataque general del dispositivo, y fue diseñada para usuarios preocupados de que puedan estar sujetos a ataques dirigidos. Citizen Lab dice que el error que descubrió estaba siendo explotado para instalar software espía fabricado por la compañía israelí de vigilancia cibernética Grupo NSO.

Esta vulnerabilidad se corrige en iOS 16.6.1 y iPadOS 16.6.1. Para activar el Modo de Bloqueo en iOS 16, vaya a Configuración, luego Privacidad y Seguridad, luego Modo de bloqueo.

Para no quedarse fuera de la diversión de día cero, Google reconocido el sept. 11 que un exploit para un desbordamiento de pila error en Chrome está siendo explotado en la naturaleza. Google dice que está lanzando actualizaciones para corregir la falla, y que reiniciar Chrome es la forma de aplicar las actualizaciones pendientes. Curiosamente, Google dice que este error fue reportado por Apple y Citizen Lab.

En el frente de Microsoft, un día cero en Microsoft Word es uno de los errores más preocupantes corregidos hoy. Rastreado como CVE-2023-36761, está marcada como una vulnerabilidad de "divulgación de información". Pero esa descripción apenas capta la sensibilidad de la información potencialmente expuesta aquí.

Tom Bowyer, gerente de seguridad de productos en Automox, dijo que la explotación de esta vulnerabilidad podría llevar a la divulgación de Hashes Net-NTLMv2, que se utilizan para la autenticación en entornos Windows.

"Si un actor malicioso obtiene acceso a estos hashes, potencialmente puede hacerse pasar por el usuario, obteniendo acceso no autorizado a datos y sistemas confidenciales", dijo Bowyer, y señaló que CVE-2023-36761 puede explotarse con solo ver un documento malicioso en el panel de vista previa de Windows. "También podrían realizar ataques de paso del hash, donde el atacante usa la versión hash de una contraseña para autenticarse sin necesidad de descifrarla.”

El otro día cero de Windows arreglado este mes es CVE-2023-36802. Esta es una falla de "elevación de privilegios" en el "Proxy del servicio de transmisión de Microsoft", que está integrado en las versiones de Windows 10, 11 y Windows Server. Microsoft dice que un atacante que explote con éxito el error puede obtener privilegios de nivel de SISTEMA en una computadora con Windows.

Cinco de las fallas que Microsoft corrigió este mes obtuvieron su calificación "crítica", que el gigante del software reserva para vulnerabilidades que pueden ser explotadas por malware o descontentos con poca o ninguna interacción por parte de los usuarios de Windows.

De acuerdo con el Centro de Tormentas de SANS Internet, el error crítico más grave en el martes de parches de septiembre es CVE-2023-38148, que es una debilidad en el Uso Compartido de la Conexión a Internet servicio en Windows. Microsoft dice que un atacante no autenticado podría aprovechar la falla para instalar malware simplemente enviando un paquete de datos especialmente diseñado a un sistema Windows vulnerable.

Finalmente, Adobe ha lanzado actualizaciones de seguridad críticas para su Adobe Reader y Acróbata software que también corrige una vulnerabilidad de día cero (CVE-2023-26369). Más detalles están en Asesoramiento de Adobe.

Para obtener un desglose más detallado de las actualizaciones de Windows lanzadas hoy, consulte Martes de parches de Microsoft por Morphus Labs. Mientras tanto, considere hacer una copia de seguridad de sus datos antes de actualizar Windows y esté atento AskWoody.com para informes de problemas generalizados con cualquiera de las actualizaciones lanzadas como parte del Martes de Parches de septiembre.