Microsoft Patch Tuesday corrige 82 CVE, Internet …



El lanzamiento mensual sigue al parche de emergencia de Microsoft Exchange Server de la semana pasada que cubre siete CVE, cuatro de los cuales están bajo ataque.

Microsoft lanzó hoy 82 correcciones de seguridad como parte de su lanzamiento mensual del martes de parches, que este mes aborda 10 vulnerabilidades críticas y un World wide web Explorer de día cero. Esto eleva su recuento de parches de marzo a 89 después del lanzamiento de parches de emergencia para siete CVE la semana pasada.

El parche de Trade fuera de banda lanzado el 2 de marzo cubre siete CVE únicos, cuatro de los cuales están bajo ataque activo. Se recomienda a las organizaciones que ejecutan servidores Exchange en las instalaciones que aborden las vulnerabilidades lo antes posible, ya que los atacantes continúan buscándolas y explotándolas.

Microsoft lanzó hoy parches adicionales para versiones anteriores no compatibles de Exchange Server.

El lanzamiento de Patch Tuesday de hoy aborda las vulnerabilidades en Microsoft Home windows, Azure y Azure DevOps, Azure Sphere, Online Explorer, el navegador Edge, Business y Business office Providers y World wide web Applications, SharePoint Server, Visual Studio y Home windows Hyper-V. Uno es conocido públicamente y está bajo ataque activo.

Eso es CVE-2021-26411, una vulnerabilidad de corrupción de memoria en Internet Explorer que podría permitir que un atacante exitoso ejecute código en un sistema de destino si una víctima ve un archivo HTML especialmente diseñado. Esto afecta a versiones anteriores como World-wide-web Explorer 11 y versiones más nuevas basadas en EdgeHTML.

«Este tipo de exploit le daría al atacante los mismos permisos de sistema operativo que el usuario que visita el sitio web», dice Kevin Breen, director de investigación de amenazas cibernéticas en Immersive Labs. «Por lo tanto, si navega por World wide web como un usuario estándar, el atacante obtendrá acceso de nivel de usuario a su sistema de archivos y acceso limitado al sistema operativo».

Es un recordatorio de que los empleados nunca deben navegar por Online mientras estén conectados con privilegios de administrador, agrega. Si una víctima está navegando por Internet como administrador, los atacantes podrían obtener «acceso completo y sin restricciones» al sistema de archivos y al sistema operativo, agrega Breen. Microsoft señala que el ataque para aprovechar esta falla crítica es de baja complejidad y no requiere privilegios.

Vale la pena señalar es CVE-2021-26897, una vulnerabilidad crítica de ejecución remota de código (RCE) en el servidor DNS de Home windows. Vale la pena señalar que Microsoft corrigió cinco fallas de RCE en el servidor DNS este mes este es el único calificado como crítico. Esta falla también está clasificada como «más possible de explotación» por Microsoft, y no requiere privilegios y una baja complejidad de ataque.

«Estos ataques no se limitan a atacantes externos, sino que también se convierten en un objetivo para atacantes que ya pueden estar dentro de su pink», dice Breen. «Un atacante que obtenga acceso para manipular un servidor DNS dentro de su organización puede tener un impacto significativo en su seguridad standard».

Otro CVE que llama la atención sobre los privilegios es CVE-2021-27076, una vulnerabilidad de RCE en SharePoint Server. Esto también se clasifica como «más probable explotación» e indica que un atacante podría explotar el servidor para obtener la ejecución de código en la purple. Un atacante exitoso necesitaría privilegios para crear o modificar sitios en SharePoint, lo que los usuarios autenticados pueden hacer de forma predeterminada. Es un recordatorio de que los usuarios que no necesitan privilegios específicos no deberían tenerlos.

Los parches críticos de hoy también abordan dos fallas de RCE en Azure Sphere, las cuales son vulnerabilidades de ejecución de código sin firmar. Sin embargo, es possible que los usuarios no necesiten tomar medidas porque los dispositivos que ejecutan Azure Sphere conectados a Internet obtienen actualizaciones automáticas, como Dustin Childs, con la iniciativa Zero-Working day de Development Micro, Señala. Estos defectos se enumeran como CVE-2021-27074 y CVE-2021-27080.

Kelly Sheridan es la editora de particular de Dark Looking at, donde se centra en noticias y análisis de ciberseguridad. Es una periodista de tecnología empresarial que anteriormente reportó para InformationWeek, donde cubrió Microsoft, y Seguros y tecnología, donde cubrió finanzas … Ver biografía completa

Lectura recomendada:

Más información





Enlace a la noticia initial