Microsoft lanza parches para 90 vulnerabilidades, seis de ellas explotadas activamente

Microsoft ha lanzado una nueva ola de actualizaciones de seguridad como parte de sus regulares publicaciones de parches, abordando un total de 90 vulnerabilidades que afectan a varios de sus productos. Este lanzamiento incluye diez fallos críticos de día cero, de los cuales siete ya han sido explotados activamente.

De los 90 errores, siete están clasificados como críticos, 79 como importantes y uno como de gravedad moderada. Esto se suma a las 36 vulnerabilidades que resolvió en su navegador Edge el mes pasado.

Vulnerabilidades críticas y de Día Cero

Entre las vulnerabilidades parcheadas, diez han sido identificadas como de día cero, lo que significa que fueron descubiertas antes de que Microsoft pudiera desarrollar una solución. Seis de estas vulnerabilidades ya estaban siendo activamente explotadas por ciberdelincuentes, lo que subraya la gravedad de la amenaza y los peligros que pueden provocar para los usuarios. Estas seis vulnerabilidades explotadas activamente son:

1. CVE-2024-38189: Vulnerabilidad de ejecución remota de código en Microsoft Project (puntuación CVSS: 8,8). Este fallo permite a un atacante remoto ejecutar código arbitrario en el sistema afectado mediante la explotación de un error en la forma en que Microsoft Project maneja ciertos archivos.
2. CVE-2024-38178: Vulnerabilidad de corrupción de memoria en Windows Scripting Engine (puntuación CVSS: 7,5). Esta vulnerabilidad puede permitir la ejecución de código malicioso cuando un usuario interactúa con contenido especialmente diseñado.
3. CVE-2024-38193: Vulnerabilidad de elevación de privilegios en el controlador de funciones auxiliares de Windows para WinSock (puntuación CVSS: 7,8). Este fallo puede ser aprovechado para obtener privilegios elevados en un sistema comprometido.
4. CVE-2024-38106: Vulnerabilidad de elevación de privilegios en el kernel de Windows (puntuación CVSS: 7,0). Los atacantes pueden usar esta vulnerabilidad para ejecutar código con privilegios elevados en un sistema vulnerable.
5. CVE-2024-38107: Vulnerabilidad de elevación de privilegios del coordinador de dependencia de energía de Windows (puntuación CVSS: 7,8). Esta falla es otro vector de ataque para que los ciberdelincuentes obtengan acceso de alto nivel en sistemas vulnerables.
6. CVE-2024-38213: Vulnerabilidad de omisión de funciones de seguridad de la marca de la Web de Windows (puntuación CVSS: 6,5). Esta vulnerabilidad permite a los atacantes saltarse facilmente las protecciones de SmartScreen, lo que podría resultar en la ejecución de archivos maliciosos si el usuario es engañado para abrirlos. Esta es particularmente preocupante porque permite a los atacantes sortear una capa crítica de defensa.

Otras vulnerabilidades importantes

Además de los seis fallos explotados activamente, Microsoft también ha abordado una serie de vulnerabilidades críticas y conocidas públicamente que podrían ser igualmente peligrosas si no se solucionan. Entre ellas destacan:

• CVE-2024-38200: Vulnerabilidad de suplantación de identidad en Microsoft Office (puntuación CVSS: 7,5). Un atacante podría aprovechar esta falla para suplantar la identidad de un documento o archivo, engañando a los usuarios para que interactúen con contenido malicioso.
• CVE-2024-38199: Vulnerabilidad de ejecución remota de código en el servicio Line Printer Daemon (LPD) de Windows (puntuación CVSS: 9,8). Esta vulnerabilidad podría permitir a un atacante remoto ejecutar código en un servidor afectado mediante la explotación de una falla en el servicio de impresión.
• CVE-2024-21302: Vulnerabilidad de elevación de privilegios en el modo kernel seguro de Windows (puntuación CVSS: 6,7). Este fallo permite a un atacante elevar sus privilegios en el sistema y potencialmente tomar el control del sistema afectado para su control.
• CVE-2024-38202: Vulnerabilidad de elevación de privilegios en Windows Update Stack (puntuación CVSS: 7,3). Un atacante que explote esta vulnerabilidad podría manipular el sistema de actualizaciones de Windows para obtener control adicional sobre el sistema y obtener muchos más beneficios.

Además de los parches para Windows, Microsoft también lanzó actualizaciones para su navegador Edge, resolviendo 36 vulnerabilidades desde la última ronda de actualizaciones. Estos parches son importantes para garantizar que los usuarios estén protegidos contra las amenazas más recientes en la web.