Microsoft y otras importantes empresas de software lanzan actualizaciones de parches de febrero de 2022 abril 2023

Microsoft lanzó el martes sus actualizaciones de seguridad mensuales con arreglos para 51 vulnerabilidades en su línea de software que consta de Windows, Office, Teams, Azure Data Explorer, Visual Studio Code y otros componentes como Kernel y Win32k.

Entre los 51 defectos cerrados, 50 están clasificados como importantes y uno tiene una clasificación de gravedad moderada, lo que la convierte en una de las raras actualizaciones de Patch Tuesday sin arreglos para las vulnerabilidades clasificadas como críticas. Esto también es además de 19 defectos más la empresa abordó en su navegador Edge basado en Chromium.

Ninguna de las vulnerabilidades de seguridad se enumeran como explotación activa, mientras que las fallas: CVE-2022-21989 (Puntuación CVSS: 7,8): ha sido clasificado como un día cero divulgado públicamente en el momento del lanzamiento. El problema se refiere a un error de escalada de privilegios en el kernel de Windows, y Microsoft advierte sobre posibles ataques que explotan la deficiencia.

«La explotación exitosa de esta vulnerabilidad requiere que un atacante tome medidas adicionales antes de la explotación para preparar el entorno de destino», señaló la compañía en su aviso. «Se podría realizar un ataque exitoso desde un AppContainer con privilegios bajos. El atacante podría elevar sus privilegios y ejecutar código o acceder a recursos a un nivel de integridad más alto que el del entorno de ejecución de AppContainer».

También se han resuelto una serie de vulnerabilidades de ejecución remota de código que afectan al servidor DNS de Windows (CVE-2022-21984puntaje CVSS: 8.8), servidor de SharePoint (CVE-2022-22005puntaje CVSS: 8.8), Windows Hyper-V (CVE-2022-21995puntaje CVSS: 5.3) y extensiones de video HEVC (CVE-2022-21844, CVE-2022-21926y CVE-2022-21927puntuaciones CVSS: 7,8).

La actualización de seguridad también corrige una vulnerabilidad de suplantación de identidad de Azure Data Explorer (CVE-2022-23256puntaje CVSS: 8.1), dos vulnerabilidades de omisión de seguridad, cada una de las cuales afecta a Outlook para Mac (CVE-2022-23280puntaje CVSS: 5.3) y OneDrive para Android (CVE-2022-23255puntaje CVSS: 5.9) y dos vulnerabilidades de denegación de servicio en .NET (CVE-2022-21986puntaje CVSS: 7.5) y Equipos (CVE-2022-21965puntuación CVSS: 7,5).

Microsoft también dijo que remedió fallas múltiples de elevación de privilegios: cuatro en Print Spooler Servicio y uno en el controlador Win32k (CVE-2022-21996puntaje CVSS: 7.8), el último de los cuales ha sido etiquetado como «Explotación más probable» a la luz de una vulnerabilidad similar en el mismo componente que se parchó el mes pasado (CVE-2022-21882) y desde entonces ha estado bajo ataque activo.

Las actualizaciones llegan cuando el gigante tecnológico volvió a publicar a fines del mes pasado una vulnerabilidad que data de 2013: un problema de validación de firma que afecta a WinVerifyTrust (CVE-2013-3900), señalando que la solución está «disponible como una función opcional a través de la configuración de la clave de registro, y está disponible en las ediciones compatibles de Windows lanzadas desde el 10 de diciembre de 2013».

El movimiento puede haber sido impulsado en respuesta a una campaña de malware ZLoader en curso que, como descubrió Check Point Research a principios de enero, se descubrió que aprovechaba la falla para eludir el mecanismo de verificación de firmas de archivos y lanzar malware capaz de desviar las credenciales de los usuarios y otra información confidencial. .