Ayer martes, Microsoft reveló 64 vulnerabilidades, incluidas cinco críticas y una que está siendo explotada. Las vulnerabilidades críticas afectan a Microsoft Dynamics 365, las extensiones de protocolo de intercambio de claves de Internet (IKE) de Windows y TCP/IP de Windows.

Los parches publicados abordan vulnerabilidades en Microsoft Windows y en sus componentes; Azure y Azure Arc; .NET y Visual Studio y .NET Framework; Microsoft Edge (basado en Chrome); Office y sus Componentes; Windows Defender; y en el núcleo de Linux.

Como señala Zero Day Initiative, esto se suma a 15 parches para CVE en Microsoft Edge (basado en Chromium) y un parche en procesadores ARM.

El CVE-2022-37969 afecta al controlador del sistema de archivos de registro comunes de Windows. Para explotarlo, el atacante ya debe tener acceso al sistema y la capacidad de ejecutar código. Esta vulnerabilidad le permite al atacante obtener nuevos privilegios.

"Los errores de esta naturaleza a menudo se envuelven en algún tipo de ataque de ingeniería social, como convencer a alguien para que abra un archivo o haga clic en un enlace", señala Zero Day Initiative. "Una vez que lo hacen, se ejecuta código adicional con privilegios elevados para tomar el control del sistema".

Microsoft reconoció a los investigadores de DBAPPSecurity, Mandiant, CrowdStrike y Zscaler por identificar esta vulnerabilidad.

Los cinco CVE críticos revelados el martes fueron todas vulnerabilidades de ejecución remota de código (RCE). De ellos, dos afectan las versiones locales de Microsoft Dynamics CRM on-premises. Estos CVE permiten que un usuario autenticado ejecute un paquete de solución de confianza especialmente diseñado para ejecutar comandos SQL arbitrarios. Desde allí, el atacante podría escalar y ejecutar comandos como db_owner dentro de su base de datos de Dynamics 365.

Otros dos CVE críticos CVE-2022-34721 y CVE-2022-34722 afectan las extensiones de protocolo de intercambio de claves de Internet (IKE) de Windows, lo que permite que un atacante no autenticado envíe un paquete IP especialmente diseñado a una máquina de destino. Pueden ejecutarse desde la red sin necesidad de interactuación por parte de la víctima.

* 2 ya conocidos, uno en .NET y otro el que está ya siendo aprovechado por atacantes (a continuación).

* Uno aprovechado por atacantes que se trata de una elevación de privilegios en el driver Windows Common Log File (CVE-2022-37969)

* 15 errores en Chromium.

El último CVE crítico CVE-2022-34718 afecta a Windows TCP/IP, lo que permite que un atacante no autenticado envíe un paquete IPv6 especialmente diseñado a un nodo de Windows donde IPSec está habilitado.

Fuente: href="https://www.zdnet.com/article/microsoft-patch-tuesday-64-new-vulnerabilities-including-five-critical-ones/" rel="nofollow" target="_blank">ZDNet