Video: Microsoft Lanza nuevo parche para forzar la Actualización de Windows 10 2004 (Noviembre 2024)
Microsoft está dando a los administradores un descanso con un lanzamiento relativamente ligero de Patch Tuesday en septiembre. La compañía corrigió 42 errores en cuatro boletines que cubren Internet Explorer,.NET Framework, Windows Task Scheduler y Microsoft Lync.
Aplica la actualización de Internet Explorer. Puede protegerlo de ataques de día cero.
Chatty IE Bug cerrado
Microsoft calificó solo una actualización, el parche acumulativo para Internet Explorer (MS14-052), como "crítico". Esto significa que Microsoft sabe que los errores ya están bajo ataque o espera que los atacantes los exploten en 30 días. Los defectos también pueden provocar la ejecución remota de código.
Microsoft reparó 37 vulnerabilidades en IE, incluidas 26 vulnerabilidades de corrupción de memoria divulgadas de forma privada desde Internet Explorer 6 hasta el último Internet Explorer 11. Microsoft también reparó el error de divulgación de información que se había utilizado en ataques de día cero asociados con la Operación SnowMan campaña de ciberespionaje a principios de este año.
En esa campaña, los atacantes expusieron el error de divulgación de información para averiguar si la computadora comprometida estaba ejecutando el Kit de herramientas de experiencia de mitigación mejorada (EMET) de Microsoft y otras protecciones de seguridad. EMET es un kit de herramientas gratuito de Microsoft con varias técnicas de mitigación de exploits que protegen contra vulnerabilidades comunes de corrupción de memoria. Las empresas pueden usar EMET para defenderse temporalmente de ataques de día cero. La vulnerabilidad (CVE-2013-7331) en IE "permite a los atacantes remotos determinar la existencia de rutas locales, nombres de ruta compartidos UNC, nombres de host de intranet y direcciones IP de intranet mediante el examen de códigos de error", dijo Amol Sarwate, director de laboratorios de vulnerabilidad en Qualys. Si las herramientas estaban presentes, los atacantes terminaron el ataque.
"Este parche es el intento de Microsoft de limitar la capacidad de los kits de exploits que se han identificado utilizando una técnica de divulgación de información para determinar si se instaló un software de seguridad en particular", dijo Craig Young, un investigador de seguridad de Tripwire.
Errores de denegación de servicio, Oh My
Los boletines restantes para.NET, el Programador de tareas de Windows y Microsoft Lync, abordaron varios errores de denegación de servicio y fueron calificados como "importantes", o probablemente no resulten en la ejecución remota de código. Para que un atacante explote la vulnerabilidad de escalada de privilegios en el Programador de tareas (MS14-054), la persona primero necesitaría tener credenciales válidas y acceso local a un sistema afectado para ejecutar su código. El problema está presente en Windows 8, Windows 8.1, Windows RT y Windows RT 8.1, así como en Windows Server 2012 y Windows Server 2012 R2. La actualización de.NET Framework (MS14-053) afecta a la mayoría de las versiones de.NET, así como a las instalaciones ASP.NET habilitadas en IIS. Un error de denegación de servicio en Microsoft Lync Server 2010 y Lync Server 2013 podría permitir a los atacantes enviar solicitudes SIP maliciosas al servidor Lync.
"Si está ejecutando ASP.NET o envía solicitudes de reunión de Lync a terceros, estas actualizaciones son particularmente importantes para su organización", dijo Tyler Reguly, gerente de investigación de seguridad de Tripwire. "En algunos casos, incluso pueden considerarse críticos; la denegación de servicio no es algo que se tome a la ligera".
Más parches en el camino
El hecho de que el ciclo de actualización de este mes sea un poco ligero no significa que sea hora de ser complaciente. Adobe actualizó Flash Player hoy como parte de su ciclo de actualización regular, pero retrasó los parches que abordan vulnerabilidades críticas en Adobe Reader y Acrobat para Windows y OSX. Esos parches estarán disponibles en algún momento la próxima semana, dijo la compañía. Los parches se retrasaron debido a problemas detectados durante las pruebas. Adobe no dio más detalles sobre los defectos reales aparte de llamarlos la máxima prioridad. ¡Así que mantente alerta!
