Microsoft ha lanzado parches para abordar un total de 143 fallos de seguridad como parte de sus actualizaciones mensuales de seguridad, dos de los cuales han sido explotados activamente en el entorno salvaje.
Cinco de los 143 fallos están clasificados como críticos, 136 como importantes y cuatro como moderados en gravedad. Las correcciones se suman a 33 vulnerabilidades que han sido abordadas en el navegador Edge basado en Chromium durante el último mes.
Los dos fallos de seguridad que han sido explotados son los siguientes:
«Para la explotación exitosa de esta vulnerabilidad se requiere que el atacante tome acciones adicionales antes de la explotación para preparar el entorno objetivo», dijo Microsoft sobre CVE-2024-38112. «El atacante tendría que enviar a la víctima un archivo malicioso que la víctima tendría que ejecutar.»
El investigador de seguridad de Check Point, Haifei Li, quien ha sido acreditado con el descubrimiento y reporte del fallo en mayo de 2024, dijo que los actores de amenazas están utilizando archivos de acceso directo de Internet de Windows (.URL) especialmente diseñados que, al hacer clic, redirigen a las víctimas a una URL maliciosa invocando el navegador retirado Internet Explorer (IE).
«Se usa un truco adicional en IE para ocultar el nombre de la extensión maliciosa .HTA», explicó Li. «Al abrir la URL con IE en lugar del navegador moderno y mucho más seguro Chrome/Edge en Windows, el atacante obtuvo ventajas significativas para explotar la computadora de la víctima, aunque la computadora esté ejecutando el sistema operativo moderno Windows 10/11.»
«CVE-2024-38080 es un fallo de elevación de privilegios en Windows Hyper-V,» dijo Satnam Narang, ingeniero de investigación sénior en Tenable. «Un atacante local y autenticado podría explotar esta vulnerabilidad para elevar privilegios al nivel de SISTEMA tras un compromiso inicial de un sistema objetivo.»
Aunque los detalles exactos sobre el abuso de CVE-2024-38080 son actualmente desconocidos, Narang señaló que este es el primero de los 44 fallos de Hyper-V en ser explotado en el entorno salvaje desde 2022.
Otros dos fallos de seguridad parcheados por Microsoft han sido listados como públicamente conocidos al momento del lanzamiento. Esto incluye un ataque de canal lateral llamado FetchBench (CVE-2024-37985, puntaje CVSS: 5.9) que podría permitir a un adversario ver la memoria del montón de un proceso privilegiado que se ejecuta en sistemas basados en Arm.
La segunda vulnerabilidad divulgada públicamente es CVE-2024-35264 (puntaje CVSS: 8.1), un fallo de ejecución remota de código que afecta a .NET y Visual Studio.
«Un atacante podría explotar esto cerrando un flujo http/3 mientras se procesa el cuerpo de la solicitud, lo que lleva a una condición de carrera», dijo Redmond en un aviso. «Esto podría resultar en la ejecución remota de código.»
También se han resuelto como parte de las actualizaciones de Patch Tuesday 37 fallos de ejecución remota de código que afectan al Proveedor OLE DB de SQL Server Native Client, 20 vulnerabilidades de omisión de la característica de seguridad Secure Boot, tres fallos de escalada de privilegios en PowerShell y una vulnerabilidad de suplantación en el protocolo RADIUS (CVE-2024-3596 también conocido como BlastRADIUS).
«[Los fallos de SQL Server] afectan específicamente al Proveedor OLE DB, por lo que no solo es necesario actualizar las instancias de SQL Server, sino que también el código cliente que ejecuta versiones vulnerables del controlador de conexión necesitará ser abordado,» dijo Greg Wiseman, Gerente Principal de Producto en Rapid7.
«Por ejemplo, un atacante podría usar tácticas de ingeniería social para engañar a un usuario autenticado a intentar conectar a una base de datos SQL Server configurada para devolver datos maliciosos, permitiendo la ejecución arbitraria de código en el cliente.»
Cerrando la larga lista de parches está CVE-2024-38021 (puntaje CVSS: 8.8), un fallo de ejecución remota de código en Microsoft Office que, si se explota exitosamente, podría permitir a un atacante obtener altos privilegios, incluyendo funciones de lectura, escritura y eliminación.
Morphisec, que informó el fallo a Microsoft a finales de abril de 2024, dijo que la vulnerabilidad no requiere ninguna autenticación y representa un riesgo severo debido a su naturaleza de cero clics.
«Los atacantes podrían explotar esta vulnerabilidad para obtener acceso no autorizado, ejecutar código arbitrario y causar daños sustanciales sin ninguna interacción del usuario,» dijo Michael Gorelik. «La ausencia de requisitos de autenticación lo hace particularmente peligroso, ya que abre la puerta a una explotación generalizada.»
Las correcciones llegan mientras Microsoft anunció a finales del mes pasado que comenzará a emitir identificadores CVE para vulnerabilidades relacionadas con la nube en adelante en un intento por mejorar la transparencia.
Además de Microsoft, otros proveedores también han lanzado actualizaciones de seguridad en las últimas semanas para rectificar varias vulnerabilidades, incluyendo:
——————————————————————-
Microsoft’s July Update Patches 143 Flaws, Including Two Actively Exploited
El Pentesting, o pruebas de penetración, es una evaluación de seguridad que simula ciberataques controlados contra sistemas y redes de una organización. Realizado por profesionales de seguridad, busca identificar y explotar vulnerabilidades para evaluar la efectividad de las defensas y proporcionar recomendaciones de mejora. Ayuda a prevenir ataques, mejorar la seguridad y cumplir con requisitos normativos. En resumen, es una herramienta vital para fortalecer la seguridad informática de una organización.
El Servicio de Seguridad en Ciclo de Desarrollo es un enfoque integral que garantiza la protección de los proyectos de software desde su fase inicial de diseño hasta su implementación final. Esto implica integrar medidas de seguridad en cada etapa del proceso de desarrollo, desde la planificación hasta la entrega del producto. La importancia de este servicio radica en varios aspectos:
En resumen, el Servicio de Seguridad en Ciclo de Desarrollo es esencial para garantizar que los productos de software sean seguros, confiables y cumplan con los estándares de seguridad y privacidad, lo que resulta en beneficios tanto para la empresa como para sus clientes.
El Phishing Ético es una servicio que consiste en realizar actividades de Ingeniería Social con propósitos legítimos y éticos, generalmente como parte de una Campaña de Concientización, Evaluación de Seguridad, Prueba de un Pentesting o Red Team.
Para más información ingresa aquí: https://www.xpoint.cl/phishing-etico/
Un Red Team en ciberseguridad es un grupo de profesionales que simulan ser adversarios externos para evaluar la seguridad de un sistema o red. Utilizan tácticas similares a las de ciberdelincuentes reales, llevan a cabo pruebas de penetración, analizan riesgos y proporcionan recomendaciones para mejorar la seguridad. Su enfoque proactivo ayuda a las organizaciones a identificar y abordar vulnerabilidades, fortaleciendo así sus defensas contra amenazas potenciales.
La gestión de vulnerabilidades es un proceso integral que se centra en identificar, evaluar y abordar las debilidades en la seguridad de un sistema o red. Este proceso sigue varios pasos clave:
La gestión de vulnerabilidades es esencial para mantener la seguridad de la información en un entorno digital en constante cambio, minimizando el riesgo de explotación y fortaleciendo las defensas contra posibles amenazas.
