El martes de parches de octubre de 2023 de Microsoft corrige 3 vulnerabilidades de días cero y 104 fallas

AS-057-2023

Fecha: 11/Oct/2023

Resumen:

Ayer en martes de parches de octubre de 2023 de Microsoft, se lanzaron actualizaciones de seguridad para 104 fallas, incluidas tres vulnerabilidades de día cero explotadas activamente. Si bien se corrigieron cuarenta y cinco errores de ejecución remota de código (RCE), Microsoft solo calificó doce vulnerabilidades como 'críticas', todas las cuales son fallas de RCE.

Gigantes tecnológicos se unen a los martes de parches.

Como parte de las correcciones del martes de parches, Microsoft se unió a los gigantes tecnológicos AWS, Google y Cloudflare para abordar el día cero 'HTTP/2 Rapid Reset' que expuso Internet a ataques DDoS masivos.

Además, el gigante del software de Redmond, Wash. llamó la atención sobre un par de vulnerabilidades de día cero (en Microsoft WordPad y Skype Empresarial) que están siendo explotados en la naturaleza.
El error de WordPad, rastreado como CVE-2023-36563 , se describe como un problema de divulgación de información que permite la divulgación de hashes NTLM.

Microsoft atribuyó el descubrimiento a su propio equipo de inteligencia de amenazas, sugiriendo que se estaba utilizando en ataques de malware a través de URL o archivos creados con fines malintencionados. Como es habitual, el aviso básico de Microsoft no incluye indicadores de compromiso (IOC) o telemetría para ayudar a los defensores a buscar signos de compromiso.
La compañía también advirtió que los atacantes están explotando un error de Skype Empresarial, rastreado como CVE-2023-41763 , para elevar los derechos en las máquinas Windows comprometidas.

En total, Microsoft documentó alrededor de 110 vulnerabilidades que afectan a una amplia gama de componentes de Windows y del sistema operativo, incluidos Exchange Server, Microsoft Office, Visual Studio, ASP.NET Core, Microsoft Dynamics y la tecnología Message Queuing.

Se insta a los administradores de Windows a prestar atención a CVE-2023-36434 , un error de elevación de privilegios de Windows IIS Server con una clasificación CVSS 9.8.

Un atacante que aproveche este error podría iniciar sesión en un servidor IIS afectado como otro usuario. Microsoft no califica esto como crítico ya que requeriría un ataque de fuerza bruta, pero hoy en día, los ataques de fuerza bruta se pueden automatizar fácilmente. Si está ejecutando IIS, debe tratar esto como una actualización crítica y parchearlo rápidamente, dijo ZDI.

Citrix se unen a la fiesta del parche.

Citrix se unió a la fiesta de parches de octubre con una falla crítica de calificación 9.4 en sus dispositivos NetScaler ADC y NetScaler Gateway. Rastreado como CVE-2023-4966, podría permitir la divulgación de información confidencial en dispositivos de seguridad vulnerables. No requiere ninguna interacción del usuario ni privilegios para explotarlo, por lo que sugerimos parchearlo tan pronto como sea posible.
Un error de denegación de servicio, CVE-2023-4967, también afectó a estos mismos dispositivos Citrix y recibió una calificación CVSS de 8,2.
Recomendación

En el mundo digital, las actualizaciones son los escudos que protegen tus datos y sistemas. ¡Parcha tus sistemas para blindar tu futuro cibernético!

Referencias:

https://www.securityweek.com/microsoft-fixes-exploited-zero-days-in-wordpad-skype-for-business/

https://www.theregister.com/2023/10/10/october_2023_patch_tuesday/