Martes de Parches, Edición de octubre de 2023

Microsoft hoy emitió actualizaciones de seguridad para más de 100 vulnerabilidades recién descubiertas en su Ventanas sistema operativo y software relacionado, incluidas cuatro fallas que ya están siendo explotadas. Además, Manzana actualizaciones de emergencia lanzadas recientemente para anular un par de errores de día cero en iOS.

Apple enviado la semana pasada actualizaciones de emergencia en iOS 17.0.3 y iPadOS 17.0.3 en respuesta a ataques activos. Las correcciones del parche CVE-2023-42724, que los atacantes han estado utilizando en ataques dirigidos para elevar su acceso en un dispositivo local.

Apple dijo que también parcheó CVE-2023-5217, que no aparece como un error de día cero. Sin embargo, como Computadora que emite Pitidos señalado, esta falla es causada por una debilidad en el código abierto "libvpx"biblioteca de códec de video, que fue parcheada previamente como una falla de día cero por Google en el navegador Chrome y por Microsoft en Borde, Equipos, y Skype productos. Para cualquiera que lleve la cuenta, esto es la falla número 17 de día cero que Apple ha parcheado en lo que va del año.

Afortunadamente, los días cero que afectan a los clientes de Microsoft este mes son algo menos graves de lo habitual, con la excepción de CVE-2023-44487. Esta debilidad no es específica de Windows, sino que existe dentro de la Protocolo HTTP/ 2 utilizado por la World Wide Web: Los atacantes han descubierto cómo usar una función de HTTP/2 para aumentar masivamente el tamaño de los ataques distribuidos de denegación de servicio (DDoS), y estos ataques monstruosos han estado ocurriendo durante varias semanas.

Amazonas, Cloudflare y Google todos los avisos publicados hoy sobre cómo abordan CVE-2023-44487 en sus entornos en la nube. Google Damian Menscher escribió en Twitter/ X que el exploit-apodado a "ataque de reinicio rápido"- funciona enviando una solicitud y luego cancelándola inmediatamente (una característica de HTTP/ 2). "Esto permite a los atacantes omitir la espera de respuestas, lo que resulta en un ataque más eficiente", explicó Menscher.

Natalie Silva, ingeniero jefe de seguridad en Laboratorios Inmersivos, dijo que el impacto de esta falla para los clientes empresariales podría ser significativo y provocar un tiempo de inactividad prolongado.

"Es crucial que las organizaciones apliquen los últimos parches y actualizaciones de sus proveedores de servidores web para mitigar esta vulnerabilidad y protegerse contra tales ataques", dijo Silva. En el lanzamiento de Patch Tuesday de este mes por parte de Microsoft, han lanzado una actualización de esta vulnerabilidad, así como una solución temporal en caso de que no pueda parchear de inmediato.”

Microsoft también parcheó errores de día cero en Skype para Empresas (CVE-2023-41763) y Wordpad (CVE-2023-36563). Esta última vulnerabilidad podría exponer Hashes NTLM, que se utilizan para la autenticación en entornos Windows.

"Puede o no ser una coincidencia que Microsoft anunciara el mes pasado que WordPad ya no se actualizará y se eliminará en una versión futura de Windows, aunque aún no se ha dado una línea de tiempo específica", dijo Adam Barnett, ingeniero de software líder en Rápido7. "Como era de esperar, Microsoft recomienda Word como reemplazo de WordPad.”

Otros errores notables solucionados por Microsoft incluyen CVE-2023-35349, una debilidad de ejecución remota de código en el Cola de Mensajes Servicio (MSMQ), una tecnología que permite que las aplicaciones de varios servidores o hosts se comuniquen entre sí. Esta vulnerabilidad se ha ganado un Puntuación de gravedad del CVSS de 9,8 (10 es el peor posible). Afortunadamente, el servicio MSMQ no está habilitado de forma predeterminada en Windows, aunque Immersive Labs señala que Servidor de Microsoft Exchange puede habilitar este servicio durante la instalación.

Hablando de Exchange, Microsoft también parcheó CVE-2023-36778, una vulnerabilidad en todas las versiones actuales de Exchange Server que podría permitir a los atacantes ejecutar el código de su elección. Barnett de Rapid7 dijo que la explotación exitosa requiere que el atacante esté en la misma red que el host del servidor Exchange y use credenciales válidas para un usuario de Exchange en una sesión de PowerShell.

Para obtener un desglose más detallado de las actualizaciones publicadas hoy, consulte Resumen del Centro de Tormentas de SANS Internet. Si las actualizaciones de hoy causan problemas de estabilidad o usabilidad en Windows, AskWoody.com es probable que tenga la verdad sobre eso.

Considere hacer una copia de seguridad de sus datos y/o imágenes de su sistema antes de aplicar cualquier actualización. Y siéntase libre de sonar en los comentarios si experimenta alguna dificultad como resultado de estos parches.