Como parte de su actualización del
martes de parches para septiembre de 2024, Microsoft reveló tres nuevas fallas de seguridad que afectan a la
plataforma Windows y que han sido activamente explotadas .
La versión de seguridad mensual aborda un total de 79 vulnerabilidades, de
las cuales siete están clasificadas como críticas, 71 como importantes y una
con una gravedad moderada.
Esto, aparte de 26 fallas que el gigante tecnológico resolvió en su navegador
Edge basado en Chromium desde el lanzamiento del martes de parches el mes
pasado.
Las tres vulnerabilidades que se han utilizado como arma en un contexto
malicioso se enumeran a continuación, junto con un error que Microsoft
considera explotado:
-
CVE-2024-38014
(CVSS: 7,8): vulnerabilidad de elevación de privilegios en Windows Installer -
CVE-2024-38217
(CVSS: 5,4): vulnerabilidad de omisión de característica de seguridad de
marca de la web (MotW) de Windows -
CVE-2024-38226
(CVSS: 7,3): vulnerabilidad de omisión de la característica de seguridad de
Microsoft Publisher -
CVE-2024-43491
(CVSS: 9,8): vulnerabilidad de ejecución remota de código de Microsoft
Windows Update
«La explotación de CVE-2024-38226 y CVE-2024-38217 puede conducir a la
omisión de importantes características de seguridad que bloquean la
ejecución de las macros de Microsoft Office», dijo Satnam Narang, ingeniero senior de investigación de Tenable, en un
comunicado.
«En ambos casos, es necesario convencer al objetivo para que abra un
archivo especialmente diseñado desde un servidor controlado por el atacante.
En lo que difieren es en que el atacante necesitaría estar autenticado en el
sistema y tener acceso local a él para explotar CVE-2024-38226».
Como lo reveló Elastic Security Labs el mes pasado, se dice que
CVE-2024-38217, también conocido como
LNK Stomping, ha sido objeto de abuso en la naturaleza ya en febrero de 2018.
CVE-2024-43491, por otro lado, destaca por el hecho de que es similar al
ataque de degradación que la empresa de ciberseguridad
SafeBreach detalló
a principios del mes pasado. «Microsoft es consciente de una vulnerabilidad en Servicing Stack que ha
revertido las correcciones de algunas vulnerabilidades que afectan a los
componentes opcionales en Windows 10, versión 1507 (versión inicial lanzada
en julio de 2015)», señaló Redmond.
Esto significa que un atacante podría explotar estas vulnerabilidades
previamente mitigadas en los sistemas Windows 10, versión 1507 (Windows 10
Enterprise 2015 LTSB y Windows 10 IoT Enterprise 2015 LTSB) que hayan
instalado la actualización de seguridad de Windows publicada el 12 de marzo de
2024: KB5035858 (OS Build 10240.20526) u otras actualizaciones publicadas
hasta agosto de 2024.
El fabricante dijo además que se puede resolver instalando la actualización de
la pila de servicio de septiembre de 2024 (SSU KB5043936) y la actualización de seguridad de Windows de septiembre de 2024 (KB5043083), en ese orden.
También vale la pena señalar que la evaluación de «Explotación detectada» de
Microsoft para CVE-2024-43491 surge de la reversión de correcciones que
abordaban vulnerabilidades que afectaban a algunos componentes opcionales para
Windows 10 (versión 1507) que habían sido explotados previamente.
«No se ha detectado ninguna explotación de CVE-2024-43491», dijo la
empresa.
«Además, el equipo de productos Windows de Microsoft descubrió este
problema y no hemos visto evidencia de que sea de conocimiento público».
Parches de software de otros proveedores
Además de Microsoft, otros proveedores también han publicado actualizaciones
de seguridad durante las últimas semanas para rectificar varias
vulnerabilidades, entre ellas:
- Adobe
- Arm
- Bosch
-
Broadcom
(incluye VMware) - Cisco
- Citrix
- CODESYS
- D-Link
- Dell
- Drupal
- F5
- Fortinet
- Fortra
- GitLab
-
Google Android
and
Pixel - Google Chrome
- Google Cloud
- Google Wear OS
- Hitachi Energy
- HP
-
HP Enterprise
(incluye Aruba Networks) - IBM
- Intel
- Ivanti
- Lenovo
-
Linux distributions
Amazon Linux,
Debian,
Oracle Linux,
Red Hat, Rocky Linux,
SUSE, y Ubuntu - MediaTek
- Mitsubishi Electric
- MongoDB
- Mozilla Firefox, Firefox ESR, Focus and Thunderbird
- NVIDIA
- ownCloud
- Palo Alto Networks
- Progress Software
- QNAP
- Qualcomm
- Rockwell Automation
- Samsung
- SAP
- Schneider Electric
- Siemens
- SolarWinds
- SonicWall
- Spring Framework
- Synology
- Veeam
- Zimbra
-
Zoho ManageEngine
ServiceDesk Plus,
SupportCenter Plus, and
ServiceDesk Plus MSP - Zoom
- Zyxel