Parche Martes, Edición Enero 2020 – Krebs en Seguridad


Microsoft Actualizaciones lanzadas hoy para tapar 50 agujeros de seguridad en varios sabores de Ventanas y software package relacionado. El lote de parches incluye una solución para una falla en Home windows 10 y equivalentes de servidor de este sistema operativo que provocó una advertencia pública sin precedentes del Agencia de seguridad nacional de EE. UU.. Este mes también marca el remaining del soporte principal para Windows 7, un sistema operativo aún ampliamente utilizado que ya no recibirá actualizaciones de seguridad.

Como lo informó KrebsOnSecurity el lunes, Microsoft abordó un mistake grave (CVE-2020-0601) en Windows 10 y Windows Server 2016/19 reportado por la NSA que permite a un atacante falsificar la firma electronic vinculada a una pieza específica de program. Los atacantes podrían abusar de esta debilidad para hacer que el malware parezca un programa benigno producido y firmado por una compañía de software program legítima.

Un aviso (PDF) publicado hoy por la NSA dice que la falla puede tener implicaciones de seguridad mucho más amplias, señalando que «la explotación de la vulnerabilidad permite a los atacantes derrotar conexiones de pink confiables y entregar código ejecutable mientras aparecen como entidades legítimamente confiables».

«La NSA evalúa que la vulnerabilidad es severa y que los actores cibernéticos sofisticados entenderán la falla subyacente muy rápidamente y, si se explotan, harían que las plataformas mencionadas anteriormente sean fundamentalmente vulnerables», continúa el aviso. «Las consecuencias de no reparar la vulnerabilidad son graves y generalizadas».

Matthew Eco-friendly, profesor asociado en el departamento de informática de Universidad Johns Hopkins, dijo que la falla implica una aparente debilidad de implementación en un componente de las versiones recientes de Home windows responsables de validar la legitimidad de las solicitudes de autenticación para una panoplia de funciones de seguridad en el sistema operativo.

Environmentally friendly dijo que los atacantes pueden usar esta debilidad para suplantar todo, desde sitios internet confiables hasta la fuente de actualizaciones de software para Windows y otros programas.

«Imagínese si quisiera abrir la cerradura de su puerta», anotó Environmentally friendly. «Podría ser difícil para mí encontrar una llave que abra su puerta, pero ¿y si pudiera manipular o presentar la llave y la cerradura al mismo tiempo?»

Kenneth White, director de seguridad de la compañía de software package MongoDB, equiparó la vulnerabilidad a una llamada telefónica que se enruta a una persona a la que no tenía intención de comunicarse.

«Levanta el teléfono, marca un número y asume que está hablando con su banco o Microsoft o con quien sea, pero la parte del computer software que confirma con quién está hablando es defectuosa», dijo White. «Eso es bastante malo, especialmente cuando su sistema dice que descargue este software program o parche automáticamente y se está haciendo en segundo plano».

Tanto Inexperienced como White dijeron que es possible que pasen horas o días antes de que los investigadores de seguridad y / o los malos descubran formas de explotar este mistake, dadas las apuestas involucradas. De hecho, ya esta tarde, KrebsOnSecurity ha visto indicios de que las personas están descubriendo estos métodos, que probablemente se publicarán en línea pronto.

Según el vendedor de seguridad Qualys, solo ocho de los 50 defectos corregidos en el resumen de parches de hoy de Microsoft obtuvieron la calificación «crítica» más grave de la compañía, una designación reservada para errores que pueden ser explotados de forma remota por malware o malhechores para tomar el control completo sobre la computadora objetivo sin ninguna ayuda de usuarios.

Una vez más, algunos de esos defectos críticos incluyen debilidades de seguridad en la forma en que Windows implementa las conexiones de Escritorio remoto, una característica que permite acceder, ver y controlar los sistemas como si el usuario estuviera sentado directamente frente a la computadora remota. Otros parches críticos incluyen actualizaciones para los navegadores internet y los motores de secuencias de comandos web integrados en Windows, así como correcciones para ASP.Net y el .Net Framework.

La solución de seguridad para el error CVE-2020-0601 y otros detallados en esta publicación se ofrecerán a los usuarios de Windows como parte de un paquete de parches lanzado hoy por Microsoft. Para ver si hay actualizaciones disponibles para su computadora con Windows, vaya al menú Inicio y escriba «Windows Update», luego deje que el sistema busque cualquier parche disponible.

Tenga en cuenta que, si bien es necesario mantenerse actualizado con los parches de Windows, es importante asegurarse de actualizar solo después de haber realizado una copia de seguridad de sus datos y archivos importantes. Una copia de seguridad confiable significa que no perderá la cabeza cuando el parche con errores ocasione problemas al arrancar el sistema. Así que hágase un favor y haga una copia de seguridad de sus archivos antes de instalar parches. Windows 10 incluso tiene algunas herramientas incorporadas para ayudarlo a hacerlo, ya sea por archivo / carpeta o haciendo una copia completa y de arranque de su disco duro de una vez.

Hoy también marca el último mes en el que Microsoft enviará actualizaciones de seguridad para usuarios domésticos / personales de Home windows 7. Me considero entre el 30 por ciento de los usuarios de Home windows que todavía les gusta y (ab) usan este sistema operativo de una forma u otra, y me entristece que este día haya sucedido. Pero si confía en este sistema operativo para el uso diario, probablemente sea hora de pensar en actualizarse a algo más nuevo.

Esa podría ser una computadora con Home windows 10. O tal vez siempre has querido esa brillante computadora MacOS. Si el costo es un motivador principal y el usuario que tiene en mente no hace mucho con el sistema que no sea navegar por la Web, tal vez un Chromebook o una máquina más antigua con una versión reciente de Linux es la respuesta. Independientemente del sistema que elija, es importante elegir uno que se ajuste a las necesidades del propietario y que proporcione actualizaciones de seguridad de manera continua.

Como siempre, si experimenta problemas técnicos o problemas al instalar alguno de estos parches este mes, considere dejar un comentario al respecto a continuación existe una mejor posibilidad que otros lectores hayan experimentado lo mismo y puedan intervenir aquí con algunos consejos útiles.


Etiquetas: CVE-2020-0601, Universidad Johns Hopkins, Kenneth White, Matthew Environmentally friendly, MongoDB, Qualys, Windows 10

Esta entrada fue publicada el martes 14 de enero de 2020 a las 9:31 pm y está archivada en Time to Patch.
Puede seguir cualquier comentario a esta entrada a través del feed RSS 2..

Puedes saltar hasta el ultimate y dejar un comentario. Pinging no está permitido actualmente.



Enlace a la noticia first