Video: Nuevos Parches de Windows 10 Corrigen 87 Fallos de Seguridad (Noviembre 2024)
Microsoft anunció 11 boletines de seguridad para el lanzamiento de Patch Tuesday de diciembre, reparando 24 vulnerabilidades en el software de Microsoft, incluidos Microsoft Windows, Internet Explorer, Office y Exchange. Si bien Microsoft no abordó la falla de día cero en XP / Server 2003 descubierta en noviembre, solucionó el error TIFF que afectaba el sistema de mensajería empresarial Windows, Office y Lync.
Cinco de los boletines se califican como "críticos" y los seis restantes se consideran "importantes". Crítico en este caso significa que si se explota, la vulnerabilidad permitirá al atacante ejecutar código de forma remota. Importante en este contexto significa que la vulnerabilidad podría resultar en el compromiso de los datos del usuario o la interrupción de ciertos procesos. Microsoft recomienda que los parches críticos se apliquen de inmediato y los parches importantes "lo antes posible".
"Al igual que la última tormenta tropical de la temporada, Microsoft está dando un último golpe a los equipos de seguridad y TI", dijo Ross Barrett, gerente sénior de ingeniería de seguridad en Rapid7.
El día cero que se arregló
El problema del día cero del componente de gráficos afectó a Windows Vista, Windows Server 2008, Office 2003/2007/2010 y Lync 2010/2013. Esta vulnerabilidad puede explotarse previsualizando o abriendo una imagen TIFF creada con fines malintencionados, y los ataques activos se dirigieron con éxito a Office 2010 en sistemas XP. Este error se ha solucionado en MS13-096, dijo Dustin Childs, gerente de grupo de Microsoft Trustworthy Computing.
Los usuarios y administradores deberían tratar este parche como la máxima prioridad, incluso si hubieran instalado la revisión en noviembre, dijo a SecurityWatch Paul Henry, analista forense de Lumension. "Debido a que sabemos que convencer a los usuarios para que hagan clic no siempre es tan difícil de hacer, un parche para este definitivamente es bienvenido", dijo Henry.
Muchas correcciones para Internet Explorer
El próximo parche de prioridad debe ser MS13-097, la actualización acumulativa de Internet Explorer. Este boletín elimina siete errores. Si bien estos problemas no se están abordando actualmente, a muchos creadores de malware les gusta aplicar ingeniería inversa a los parches para crear nuevas vulnerabilidades. Esto significa que los usuarios que no actualizan IE rápidamente pueden quedar atrapados por uno de estos exploits.
Uno de los errores corregidos en el parche IE afecta a todas las versiones compatibles de Internet Explorer, advirtió Marc Maiffret, CTO de BeyondTrust. "Estire este parche lo antes posible", dijo.
El boletín que soluciona un problema en la biblioteca de objetos de tiempo de ejecución de secuencias de comandos de Microsoft (MS13-099) también debe considerarse de alta prioridad porque este componente de Windows se distribuye con cada versión del sistema operativo. Los atacantes pueden explotar la falla a través del navegador web mediante el lanzamiento de un ataque drive-by y engañar a la computadora de la víctima para que ejecute código malicioso, advirtió Maiffret.
Problema al validar la firma
Microsoft solucionó el problema en el mecanismo de validación de firma WinVerifyTrust (MS13-098) presente en todas las versiones compatibles de Windows. Los atacantes podrían aprovechar esta falla para modificar un programa firmado sin invalidar la firma del programa. Los usuarios pensarían que el ejecutable era un programa legítimo porque tenía una firma legítima cuando en realidad contenía código malicioso, dijo Maiffret.
Las vulnerabilidades dirigidas a esta vulnerabilidad ya se han observado en la naturaleza, por lo que la implementación de este parche también es una prioridad.
Error de intercambio en Outlook Web Access
El boletín de Microsoft Exchange (MS13-105) aborda problemas con Outlook Web Access (OWA) y está relacionado con el componente externo de Oracle. Este parche se produce después de que Oracle lanzó una nueva versión del componente en su Actualización de parche crítico en octubre. Los atacantes pueden explotar estos errores enviando un documento malicioso por correo electrónico. Los atacantes pueden tomar el control de todo el servidor de correo después de engañar al usuario para que lo vea, dijo Wolfgang Kandek, CTO de Qualys. "Si usa OWA en su configuración, MS13-105 es un parche importante para su organización", dijo Kandek.
Parchear Adobe Flash
La compañía también lanzó otros cuatro avisos, uno de los cuales actualizó Adobe Flash Player en Internet Explorer. Adobe anterior parcheó dos vulnerabilidades en Flash Player 11.9.900.153 y versiones anteriores de Windows y Mac OS X. Uno de los problemas se está abordando actualmente en la naturaleza, dijo Adobe. Microsoft lanzó su aviso porque incluye Flash Player en la última versión de Internet Explorer, similar a lo que Google hace con su navegador Chrome.
Otro aviso de Microsoft abordó un problema importante relacionado con la autenticación que afecta a las aplicaciones ASP.NET. Los desarrolladores de aplicaciones.NET deben prestar atención al asesoramiento para garantizar que sus aplicaciones no se vean afectadas.
"Va a ser un mes ocupado para todos los equipos involucrados aquí, felices parcheando a todos", dijo Barrett.
