Martes de parches de enero de 2022 de Microsoft: Seis días cero, más de 90 vulnerabilidades corregidas

Publicado por: Manuel Abreu Ortiz - social@manuelabreuo.com

Microsoft ha publicado 96 correcciones de seguridad, que incluyen actualizaciones para solucionar seis vulnerabilidades de día cero.

En la última ronda de parches del gigante de Redmond, que suele publicarse el segundo martes de cada mes en lo que se conoce como Patch Tuesday, Microsoft ha corregido problemas que incluyen exploits de ejecución remota de código (RCE), fallos de escalada de privilegios, problemas de suplantación de identidad y vulnerabilidades de cross-site scripting (XSS).

Los productos afectados por la actualización de seguridad de enero de 2022 incluyen Microsoft Exchange Server, la línea de software de Office, Windows Defender, el Kernel de Windows, RDP, los servicios criptográficos, Windows Certificate y Microsoft Teams.

Las vulnerabilidades de día cero resueltas en esta actualización son:

CVE-2021-22947: CVE asignada por HackerOne: Un RCE de Curl de código abierto que permite ataques Man-in-The-Middle (MiTM).
CVE-2021-36976: MITRE asignó una CVE: un error de uso después de libre de Libarchive de código abierto que conduce a un RCE.
CVE-2022-21874: Una vulnerabilidad RCE local de la API del Centro de Seguridad de Windows (CVSS 7.8).
CVE-2022-21919: Un problema de seguridad de elevación de privilegios en el servicio de perfiles de usuario de Windows (CVSS 7.0), código de explotación PoC registrado.
CVE-2022-21839: Denegación de servicio de la lista de control de acceso discrecional de Windows (CVSS 6.1).
CVE-2022-21836: Falsificación de certificados de Windows, código PoC registrado (CVSS 7.8).

No se sabe que alguno de los defectos de día cero mencionados haya sido explotado en la naturaleza. Un total de 24 vulnerabilidades fueron parcheadas a principios de este mes en Microsoft Edge (basado en Chromium). Según la Zero Day Initiative (ZDI), este volumen es inusual para el mes de enero, ya que en años anteriores solía ser aproximadamente la mitad de esta cifra.

Microsoft también ha anunciado un sistema renovado de notificación de la Guía de Actualización de Seguridad, con direcciones de correo electrónico estándar que ahora se aceptan en el registro en lugar de sólo los Live ID.

Con información de Xataka.

Especialista en Tecnología #Ciberseguridad #CISO #ComputerForensic #Coach Mail público http://mypublicinbox.com/ingabreuortiz

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *