Microsoft anuncia 5 días cero en la importante actualización de seguridad de julio

de Microsoft Actualización de seguridad de julio incluye correcciones para la friolera de 130 vulnerabilidades únicas, cinco de las cuales los atacantes ya están explotando activamente.

La empresa clasificó nueve de las deficiencias como críticas, 121 de ellas como moderadas o importantes. Las vulnerabilidades afectan a una variedad de productos de Microsoft, incluidos Windows, Office, .Net, Azure Active Directory, controladores de impresora, servidores DMS y escritorio remoto. La actualización contenía la combinación habitual de errores de ejecución remota de código (RCE), problemas de derivación de seguridad y escalada de privilegios, errores de divulgación de información y vulnerabilidades de denegación de servicio.

“Este volumen de correcciones es el más alto que hemos visto en los últimos años, aunque‘«No es raro que Microsoft envíe una gran cantidad de parches justo antes de la conferencia Black Hat USA», dijo Dustin Childs, investigador de seguridad de Trend Micro’s Zero Day Initiative (ZDI), en una publicación de blog.

Desde el punto de vista de la priorización de parches, los cinco días cero que Microsoft anunció esta semana merecen atención inmediata, según los investigadores de seguridad.

La más grave de ellas es CVE-2023-36884, un error de ejecución remota de código (RCE) en Office y HTML de Windows para el que Microsoft no proporcionó un parche en la actualización de este mes. La compañía identificó un grupo de amenazas que rastrea, Storm-0978, que explota la vulnerabilidad en una campaña de phishing dirigida a organizaciones gubernamentales y de defensa en América del Norte y Europa.

En la campaña, el actor de amenazas propaga una puerta trasera llamada RomCom a través de documentos de Windows con temas relacionados con el Congreso Mundial de Ucrania. «Tormenta-0978‘“Las operaciones dirigidas han afectado principalmente a organizaciones gubernamentales y militares en Ucrania, así como a organizaciones en Europa y América del Norte que pueden estar involucradas en asuntos ucranianos”. Microsoft lo dijo en un blog. Publicación que acompañó a la actualización de seguridad de julio. «Los ataques de ransomware detectados han afectado a las industrias de telecomunicaciones y financiera, entre otras».

Dustin Childs, otro investigador de ZDI, advirtió a las organizaciones que traten CVE-2023-36884 como un problema de seguridad «crítico», aunque Microsoft mismo lo ha clasificado como un error «importante» relativamente menos grave. “Microsoft tomó la extraña medida de lanzar este CVE sin un parche. El‘«Eso aún está por venir», escribió Childs en una publicación de blog. «Eso esta limpio‘Hay mucho más en este exploit de lo que se dice.

Dos de las cinco vulnerabilidades que se explotan activamente son vulnerabilidades de seguridad. Uno de ellos se refiere a Microsoft Outlook (CVE-2023-35311) y el otro se refiere a Windows SmartScreen (CVE-2023-32049). Ambas vulnerabilidades requieren la interacción del usuario, lo que significa que un atacante solo puede explotarlas engañando a un usuario para que haga clic en una URL maliciosa. CVE-2023-32049 permitiría a un atacante eludir el aviso «Abrir archivo – Advertencia de seguridad», mientras que CVE-2023-35311 permite a los atacantes encubrir su ataque a través del aviso de «Alerta de seguridad» de Microsoft Outlook.

«Es importante tener en cuenta [CVE-2023-35311] «Específicamente, permite eludir las funciones de seguridad de Microsoft Outlook y no permite la ejecución remota de código ni la escalada de privilegios», dijo Mike Walters, vicepresidente de investigación de vulnerabilidades y amenazas de Action1. «Como tal, es probable que los atacantes la combinen con otros exploits para un ataque a gran escala». «La vulnerabilidad afecta a todas las versiones de Microsoft Outlook desde 2013», señaló en un correo electrónico a Dark Reading.

Kev Breen, jefe de investigación de amenazas cibernéticas en Immersive Labs, evaluó el otro bypass de seguridad de día cero — CVE-2023-32049: otra falla que los actores de amenazas probablemente explotarán como parte de una cadena de ataque más amplia.

Los otros dos días cero en los últimos parches de Microsoft permiten la escalada de privilegios. Los investigadores del Grupo de Análisis de Amenazas de Google han descubierto uno de ellos. El error rastreado como CVE-2023-36874es un problema de elevación de privilegios en el Servicio de informes de errores de Windows (WER) que permite a los atacantes obtener privilegios administrativos en sistemas vulnerables. Un atacante necesitaría acceso local a un sistema afectado para explotar la vulnerabilidad, que podría obtener a través de otros exploits o abuso de credenciales.

«El servicio WER es una característica de los sistemas operativos Microsoft Windows que recopila y envía automáticamente informes de error a Microsoft cuando cierto software falla o encuentra otros tipos de errores», dijo Tom Bowyer, investigador de seguridad de Automox. “Esta vulnerabilidad de día cero se explota activamente. Entonces, si su empresa usa WER, recomendamos instalar el parche dentro de las 24 horas”, dijo.

El otro error de elevación de privilegios en la actualización de seguridad de julio que los atacantes ya están explotando activamente es CVE-2023-32046 en la plataforma Windows MSHTM de Microsoft, también conocida como el motor de representación del navegador «Trident». Al igual que con muchos otros errores, este requiere cierto nivel de interacción del usuario. Para explotar la falla en un escenario de ataque por correo electrónico, un atacante necesitaría enviar a un usuario objetivo un archivo especialmente diseñado y engañar al usuario para que lo abra. Un ataque basado en la web requeriría que un atacante aloje un sitio web malicioso, o use un sitio web comprometido, para alojar un archivo especialmente diseñado y luego engañar a la víctima para que lo abra, dijo Microsoft.

RCE en enrutamiento de Windows, servicio de acceso remoto

Los investigadores de seguridad señalaron tres vulnerabilidades RCE en el Servicio de acceso remoto y enrutamiento de Windows (RRAS) (CVE-2023-35365, CVE-2023-35366Y CVE-2023-35367) así como todos los demás merecen una atención prioritaria. Microsoft ha clasificado las tres vulnerabilidades como críticas y las tres tienen una puntuación CVSS de 9,8. El servicio no está disponible de forma predeterminada en Windows Server y básicamente permite que las computadoras que ejecutan el sistema operativo actúen como enrutadores, servidores VPN y servidores de acceso telefónico, dijo Bowyer de Automox. «Un atacante exitoso podría cambiar las configuraciones de la red, robar datos, cambiar a otros sistemas más críticos/importantes o crear cuentas adicionales para el acceso persistente al dispositivo».«

Deficiencias en el servidor de SharePoint

La enorme actualización de julio de Microsoft incluyó correcciones para cuatro vulnerabilidades RCE en el servidor de SharePoint, que recientemente se ha convertido en un objetivo popular para los ataques. Microsoft ha clasificado dos de los errores como «importantes» (CVE-2023-33134 Y CVE-2023-33159) y los otros dos como «críticos» (CVE-2023-33157 Y CVE-2023-33160). «Todos requieren la autenticación del atacante o la acción del usuario, lo que afortunadamente reduce el riesgo de una violación de la seguridad», dijo Yoav Iellin, investigador principal de Silverfort. «Sin embargo, debido a que SharePoint puede contener datos confidenciales y generalmente se expone desde fuera de la organización, aquellos que usan las versiones locales o híbridas deben actualizar».

Las organizaciones que necesitan cumplir con regulaciones como FEDRAMP, PCI, HIPAA, SOC2 y regulaciones similares deben prestar atención CVE-2023-35332: un error al omitir la función de seguridad del Protocolo de escritorio remoto de Windows, dijo Dor Dali, director de investigación de Cyolo. La vulnerabilidad está relacionada con el uso de protocolos heredados y heredados, incluida la versión 1.0 de Datagram Transport Layer Security (DTLS), que representa un riesgo significativo de seguridad y cumplimiento para las organizaciones, dijo. En situaciones en las que una organización no puede actualizar de inmediato, debe deshabilitar la compatibilidad con UDP en la puerta de enlace RDP, dijo.

Además, Microsoft publicó una guía por su investigación de informes recientes de actores de amenazas que utilizan controladores certificados por Microsoft‘s Programa de desarrollo de hardware de Windows (MWHDP) en actividades posteriores a la explotación.