Se explotan dos errores de día cero en la actualización de noviembre de Microsoft

Los atacantes ya están explotando activamente dos vulnerabilidades para las cuales Microsoft lanzó parches el 12 de noviembre como parte de su actualización de seguridad mensual. Y es posible que pronto comiencen a atacar dos vulnerabilidades más conocidas públicamente pero aún no explotadas.

Los cuatro errores de día cero se encuentran entre un conjunto de 89 vulnerabilidades y exposiciones comunes (CVE) que Microsoft solucionó en el martes de parches de noviembre. La pila incluye un porcentaje significativamente alto de vulnerabilidades de ejecución remota de código (RCE), además de la colección habitual de vulnerabilidades de elevación de privilegios, vulnerabilidades de suplantación de identidad, omisiones de seguridad, problemas de denegación de servicio y otras clases de vulnerabilidades. Microsoft identificó ocho de las vulnerabilidades como problemas que es más probable que los atacantes aprovechen, aunque los investigadores también señalaron otras vulnerabilidades que probablemente sean de gran interés para los atacantes.

Microsoft adopta el estándar CSAF

junto con eso Actualización de seguridad de noviembre, Microsoft también anunciado su aceptación de Marco común de asesoramiento sobre seguridad (CSAF), un estándar de OASIS para revelar vulnerabilidades en formato legible por máquina. «Los archivos CSAF están destinados a ser utilizados por computadoras y no por personas», dijo Microsoft en una publicación de blog. Está diseñado para ayudar a las organizaciones a acelerar sus procesos de respuesta y remediación de vulnerabilidades, dijo la compañía.

«Eso es un Gran victoria para la comunidad de seguridad y una adición bienvenida a las páginas de seguridad de Microsoft”, dijo por correo electrónico Tyler Reguly, subdirector de investigación y desarrollo de seguridad de Fortra. «Este es un estándar que han adoptado muchos proveedores de software y es fantástico ver que Microsoft sigue su ejemplo.» «

Errores de día cero bajo explotación activa

Uno de los errores de día cero que los atacantes ya están explotando activamente es CVE-2024-43451 (CVSS 6,5 sobre 10), un error que anuncia el hash NTLMv2 de un usuario para validar credenciales en entornos Windows. Los hashes permiten a los atacantes autenticarse como usuarios legítimos y acceder a aplicaciones y datos para los que tienen permisos. La vulnerabilidad afecta a todas las versiones de Windows y requiere una mínima interacción del usuario para explotarla. Microsoft advirtió que simplemente seleccionar o examinar un archivo podría desencadenar la vulnerabilidad de seguridad.

______________________________

No te pierdas la próxima versión gratuita Evento virtual de lectura oscura“Conozca a su enemigo: comprensión de los ciberdelincuentes y los actores de amenazas de los Estados-nación”, 14 de noviembre a las 11 a. m., hora del Este. No se pierda las sesiones sobre cómo comprender MITRE ATT&CK, cómo utilizar la seguridad proactiva como arma y una clase magistral de respuesta a incidentes. y una gran cantidad de oradores de primer nivel, entre ellos Larry Larsen de Navy Credit Federal Union, el ex analista de Kaspersky Lab Costin Raiu, Ben Read de Mandiant Intelligence, Rob Lee de SANS y Elvia Finalle de Omdia. Regístrate ahora!

______________________________

«Hasta donde yo sé, esta es la tercera vulnerabilidad de este tipo que puede exponer el hash NTLMv2 de un usuario a haber sido explotado en estado salvaje en 2024», escribió Satnam Narang, ingeniero principal de Tenable, en un comentario enviado por correo electrónico. Los otros dos son CVE-2024-21410 en Microsoft Exchange Server desde febrero y CVE-2024-38021 en Microsoft Office a partir de julio.

«Una cosa es segura», dijo Narang. «Los atacantes continúan insistiendo en descubrir y explotar vulnerabilidades de día cero que pueden exponer los hashes NTLMv2».

La segunda falla de explotación activa en la última actualización de Microsoft es CVE-2024-49039 (CVSS 8.8), una falla de elevación de privilegios del Programador de tareas de Windows que permite a un atacante ejecutar llamadas a procedimientos remotos (RPC) que normalmente solo están disponibles para cuentas privilegiadas.

“En este caso, un ataque exitoso podría llevarse a cabo desde una posición de bajo privilegio. contenedor de aplicacionesdijo Microsoft. «El atacante podría elevar sus privilegios y ejecutar código o acceder a recursos en un nivel de integridad más alto que el del entorno de ejecución de AppContainer».

El hecho de que fuera el Grupo de Análisis de Amenazas de Google el que descubriera esta falla y lo reportara a Microsoft sugiere que los atacantes que actualmente explotan la falla son un grupo respaldado por el estado u otro actor de amenazas persistentes avanzadas, dijo Narang.

«Un atacante puede ejecutar este exploit como un AppContainer de bajos privilegios, ejecutando efectivamente RPC que solo deberían estar disponibles para tareas privilegiadas», agregó por correo electrónico Ben McCarthy, ingeniero principal de ciberseguridad de Immersive Labs. «No está claro qué RPC se ven afectados aquí, pero podría darle a un atacante acceso para elevar privilegios y ejecutar código en una computadora remota, así como en la computadora en la que están ejecutando la vulnerabilidad».

Cero días publicados anteriormente pero sin usar

Uno de los dos días cero ya anunciados, pero aún no explotados, es CVE-2024-49019 (CVSS 7.8), una vulnerabilidad de elevación de privilegios en los Servicios de certificados de Active Directory que los atacantes podrían aprovechar para obtener acceso a los administradores de dominio. El aviso de Microsoft enumeró varias recomendaciones para que las organizaciones protejan las plantillas de certificados, incluida la eliminación de derechos excesivos de inscripción de usuarios o grupos, la eliminación de plantillas no utilizadas y la implementación de medidas adicionales para proteger las plantillas que permitan a los usuarios ingresar un asunto para especificar la solicitud.

Microsoft está rastreando el otro error divulgado públicamente pero no explotado como CVE-2024-49040 (CVSS 7.5), una falla de suplantación de identidad en Windows Exchange Server. «El principal problema radica en cómo Exchange… maneja los encabezados, permitiendo a los atacantes crear correos electrónicos que falsamente parecen provenir de fuentes legítimas», escribió Mike Walters, presidente y cofundador de Action1, en un artículo. Publicación de blog. «Esta característica es particularmente útil para el phishing y otras formas de engaño basado en correo electrónico».

Las vulnerabilidades de RCE están teniendo un gran mes

Casi el 60% de los fallos (52 de 89) que Microsoft reveló en su actualización de noviembre son vulnerabilidades RCE que permiten a atacantes remotos ejecutar código arbitrario en sistemas vulnerables. Algunos permiten RCE no autenticado, mientras que otros requieren que un atacante tenga acceso autenticado para explotar la falla. La mayoría de los RCE de la última actualización de Microsoft afectan a diferentes versiones de MS SQL Server. Otras tecnologías afectadas incluyen MS Office 2016, MS Defender para iOS, MS Excel 2016 y Windows Server 2012, 2022 y 2025, dijo Will Bradle, consultor de seguridad de NetSPI, en un comunicado enviado por correo electrónico.

Entre los RCE más críticos, según Walters CVE-2024-43639 en Windows Kerberos. La falla tiene una puntuación de gravedad CVSS casi máxima de 9,8 sobre 10 porque, entre otras cosas, puede ser explotada de forma remota por un atacante no autenticado. La propia Microsoft ha clasificado la falla como algo menos probable que sea explotado por atacantes. Pero suspenderlo por este motivo podría ser un error.

«Kerberos es un componente fundamental de los entornos Windows y es fundamental para autenticar las identidades de los usuarios y servicios», añadió Walters. «Esta vulnerabilidad convierte a Kerberos en un objetivo valioso y permite a los atacantes aprovechar la vulnerabilidad de truncamiento para crear mensajes que Kerberos no puede procesar de forma segura, lo que potencialmente permite la ejecución de código arbitrario».

Bradle señaló CVE-2024-49050 en Visual Studio Code Python Extension como otro RCE en el conjunto de este mes que merece atención prioritaria. «La extensión tiene actualmente más de 139 millones de descargas y está afectada por una vulnerabilidad RCE con una puntuación CVSS base de 8,8», dijo. «Microsoft ha parcheado la extensión VSCode y las actualizaciones deberían instalarse inmediatamente».

McCarthy de Immersive Labs también identificó muchas otras vulnerabilidades que las empresas deberían abordar rápidamente. Abarcan lo crítico CVE-2024-43498 (CVSS 9.8), un RCE en .NET y Visual Studio; CVE-2024-49019 (CVSS 7.8), un error de escalada de privilegios de Active Directory; CVE-2024-49033 (CVSS 7.5)una falla de seguridad en Microsoft Word; Y CVE-2024-43623 (CVSS 7.8), una falla de escalada de privilegios en el núcleo del sistema operativo Windows NT que permite a los atacantes obtener acceso a nivel de sistema a los sistemas afectados. Es importante destacar que Microsoft ha clasificado esta última vulnerabilidad como una que tiene más probabilidades de ser explotada por atacantes.