Microsoft publica 2 vulnerabilidades fuera de banda

18 Noviembre 2021
Medio

Posterior a la emisión de parches de noviembre Microsoft ha publicado 2 nuevas CVE que afectarían a Windows 10 Update Assistant para lo cual, la empresa publicó la herramienta en su sitio web que abordó la vulnerabilidad.

Esta vez, la corrección se implementó en un momento diferente al llamado "Martes de parches" . Según Microsoft los detalles sobre una de las vulnerabilidades ya son públicos, pero aún no se han observado ataques que aprovechen las vulnerabilidades.

CVE-2021-43211 [CVSS de 5,5]
Microsoft Windows Update Assistant Directory Junction Privilege Escalation Vulnerability

Esta vulnerabilidad permite a los atacantes locales escalar los privilegios en las instalaciones afectadas de Microsoft Windows. Un atacante primero debe obtener la capacidad de ejecutar código con pocos privilegios en el sistema de destino para aprovechar esta vulnerabilidad.

La falla específica existe dentro del Asistente de actualización de Windows. Al crear una unión de directorio, un atacante puede abusar del Asistente de actualización de Windows para eliminar un archivo. Un atacante puede aprovechar esta vulnerabilidad para escalar privilegios y ejecutar código arbitrario en el contexto de Administrador.

CVE-2021-42297 [CVSS de 5,0]
Windows 10 Update Assistant Elevation of Privilege Vulnerability

Un atacante sólo podría eliminar archivos específicos en un sistema. No obtendrían privilegios para ver o modificar el contenido del archivo.

Asistente de actualización de Windows

Las vulnerabilidades fueron descubiertas e informadas por especialistas de seguridad externos. Sin embargo, todavía no se dispone de mucha información. El Asistente de actualización de Windows descarga e instala actualizaciones de funciones, como la versión 21H2 de Windows 10 lanzada recientemente, también conocida como Actualización de noviembre de 2021. Por lo tanto, rara vez se usa, pero no debe descuidarse.

Tras el descubrimiento de la vulnerabilidad, la empresa publicó la herramienta en su sitio web que abordó la vulnerabilidad.

Se recomienda lo siguiente:

  • Instalar las actualizaciones del fabricante disponibles en medios oficiales del proveedor, previo análisis del impacto que podría provocar en los servicios críticos para el negocio de su organización. Para ello consulte con su personal técnico o áreas resolutorias correspondientes.

 

El listado de las CVE se adjunta a continuación:


Tags: #Microsoft #Parche #Update Assistant #Vulnerabilidad #CVE-2021-43211 #CVE-2021-42297
  • Productos Afectados
  • Producto Versión
    Windows 10 Update Assistant


© 2019 Entel CyberSecure
Protege tus activos críticos, datos e infraestructura TI y minimiza tus riesgos de fuga de información,
fraude electrónico, espionaje industrial, suplantación de identidades y amenazas Zero Day, con las soluciones y servicios del Centro de Ciberinteligencia de Entel.