Microsoft emite un parche de Zero Day para Internet Explorer

La vulnerabilidad crítica también podría explotarse a través de un documento malicioso de Microsoft Business

Microsoft ha enviado una solución para una falla crítica en World-wide-web Explorer (IE) que se está explotando en la naturaleza. Rastreado como CVE-2019-1429, la vulnerabilidad es parte del lote de actualizaciones de seguridad regulares de este mes conocido como Patch Tuesday.

El día cero es un error de ejecución remota de código que, según El aviso de Microsoft, tiene que ver con cómo el motor de secuencias de comandos del navegador maneja los objetos en la memoria. El agujero de seguridad afecta a todas las versiones actuales de IE y podría ser explotado por un actor de amenazas para atraer a las víctimas a visitar un sitio world-wide-web malicioso a través del navegador.

“Un atacante que aprovechara la vulnerabilidad con éxito podría obtener los mismos derechos de usuario que el usuario true. Si el usuario actual inicia sesión con derechos de usuario administrativos, un atacante que explotara con éxito la vulnerabilidad podría tomar el manage de un sistema afectado ”, dijo el gigante de la tecnología. A partir de ahí, los atacantes podrían instalar programas, alterar los datos y crear nuevas cuentas con derechos de usuario completos.

Es importante destacar que existe otro posible vector de ataque, y ni siquiera requiere que use IE para sus necesidades típicas de navegación world-wide-web. «Un atacante también podría incrustar un manage ActiveX marcado» seguro para la inicialización «en una aplicación o documento de Microsoft Office que aloja el motor de representación de IE», dijo Microsoft.

Los detalles son escasos sobre la naturaleza de los ataques que explotan la vulnerabilidad, que fue descubierta de forma independiente por investigadores de Google, Resecurity e iDefense Labs. La seguridad dijo, sin embargo, que la falla probablemente ha sido explotada en conjunto con una vulnerabilidad descubierta previamente que aparece como CVE-2019-0880. La compañía se detuvo atribuyendo los ataques a un grupo APT en specific, pero dijo que cree que los ataques han sido llevados a cabo por un grupo de ciberespionaje para atacar a una variedad de víctimas en varias partes del mundo.

No hay factores mitigantes conocidos o soluciones alternativas para los usuarios que no pueden implementar la solución de inmediato. Sin duda, el día cero no es el único recordatorio de por qué no debe perder el tiempo en tapar agujeros de seguridad, especialmente aquellos que requieren poca interacción del usuario.

Bien resumido en Esta mesa por el Instituto de Tecnología SANS, el paquete de parches de seguridad de este mes corrige 74 fallas en varios productos y servicios, incluidos Microsoft Edge, Office, Trade Server y Windows Hyper-V. Quince de las vulnerabilidades han recibido la clasificación de gravedad más alta de Microsoft como «crítica», y el resto aparece como «importante».




Source url