Patch Tuesday Microsoft de Septiembre corrige 129 vulnerabilidades

09 Septiembre 2020
Crítico

Microsoft ha publicado parches para 129 errores de seguridad en su actualización del martes de parches de septiembre. Estos incluyen 23 fallas críticas, 105 que son importantes en gravedad y una falla moderada. Afortunadamente, ninguno es de conocimiento público o está bajo explotación activa, dijo Microsoft.

Los parches de septiembre incluyen Microsoft Windows, Microsoft Edge, Microsoft ChakraCore, Internet Explorer, SQL Server, Microsoft JET Database Engine, Microsoft Office y Office Services y Web Apps, Microsoft Dynamics, Visual Studio, Microsoft Exchange Server, ASP.NET, Microsoft OneDrive y Azure DevOps. 

Este mes, se corrigieron varias fallas de ejecución remota de código (RCE), destacamos las siguientes:

CVE-2020-16875 Corrupción de memoria en Microsoft Exchange

Este es un problema de corrupción de memoria en Microsoft Exchange que permite la ejecución remota de código (RCE) simplemente enviando un correo electrónico a un objetivo. La ejecución de código arbitrario podría otorgar a los atacantes el acceso que necesitan para crear nuevas cuentas, acceder, modificar o eliminar datos e instalar programas.

Si bien esta vulnerabilidad solo afecta a las versiones de Exchange Server 2016 y 2019, “el uso generalizado de Microsoft Exchange entre los usuarios comerciales y una alta puntuación CVSS de 9.1 indica que este parche debe tener una alta prioridad en la lista.

CVE-2020-1200, CVE-2020-1210, CVE-2020-1452, CVE-2020-1453, CVE-2020-1576 Vulnerabilidad de ejecución remota de código de Microsoft SharePoint

Son vulnerabilidades de RCE en Microsoft SharePoint cuando SharePoint no puede verificar correctamente la validez de los paquetes de aplicaciones cargados. Un atacante podría aprovechar esta vulnerabilidad cargando una aplicación malintencionada en una aplicación o servidor de SharePoint vulnerable. Destacar CVE-2020-1210 con una calificación 9,9 sobre 10 en la escala de gravedad CVSS. Estas vulnerabilidades recuerdan a CVE-2019-0604 , un RCE similar que ha sido explotada en la naturaleza por los actores de amenazas desde al menos abril de 2019".

CVE-2020-1285  En la interfaz de dispositivo gráfico de Windows

Vulnerabilidad RCE en la interfaz de dispositivo gráfico de Windows calificada con 8.4 en la escala CvSS. Surge debido a la forma en que GDI maneja los objetos en la memoria, proporcionando escenarios de ataque basados ​​en la web y de intercambio de archivos que podrían introducir múltiples vectores para que un atacante obtenga el control de un sistema.

CVE-2020-1129 y CVE-2020-1319  Biblioteca de códecs de Microsoft Windows

Microsoft también corrigió dos fallas críticas de ejecución de código remoto en la biblioteca de códecs de Windows; ambos existen en la forma en que la biblioteca de códecs de Microsoft Windows maneja los objetos en la memoria, pero mientras que uno ( CVE-2020-1129) podría explotarse para obtener información que comprometa aún más el sistema del usuario, el otro (CVE-2020-1319) podría utilizarse para tomar el control del sistema afectado.

CVE-2020-0922 Modelo de objetos componentes (COM) de Microsoft para Windows

Otro problema crítico de RCE existe en el Modelo de objetos componentes (COM) de Microsoft para Windows, que es un sistema independiente de la plataforma para crear componentes de software binarios que pueden interactuar entre sí. Este parche corrige una vulnerabilidad que permitiría a un atacante ejecutar código en un sistema afectado si puede convencer a un usuario de que abra un archivo especialmente diseñado o atraiga al objetivo a un sitio web que aloja JavaScript malicioso. Califica 8.8 en la escala CvSS.

Otras fallas críticas que el gigante tecnológico reparó este mes residen en Windows, Windows Media Audio Decoder, Windows Text Service Module, Windows Camera Codec Pack, Visual Studio, Scripting Engine y Microsoft Browser.

Vulnerabilidades importantes

Entre las vulnerabilidades importantes, destacar cuatro vulnerabilidades en los productos de Office: tres que afectan a Excel y una que afecta a Word. Es probable que CVE-2020-1193 , CVE-2020-1218 , CVE-2020-1332 y CVE-2020-1594 sean explotados a través de correos electrónicos de phishing con archivos adjuntos maliciosos. Si un usuario abriera uno de estos archivos adjuntos para el software afectado correspondiente, el adversario podría obtener la capacidad de ejecutar código en la máquina víctima.

Se recomienda lo siguiente:

  • Instalar las actualizaciones disponibles por Microsoft inmediatamente después de las pruebas apropiadas, con prioridad para las vulnerabilidades críticas. Comenzando con sistemas de misión crítica, sistemas con conexión a Internet y servidores en red.
  • Los clientes que ejecutan Windows 7, Windows Server 2008 R2 o Windows Server 2008 pueden comprar la “Actualización de seguridad extendida” para continuar recibiendo actualizaciones de seguridad. Consulte https://support.microsoft.com/en-us/help/4522133/procedure-to-continue-receiving-security-updates para más información. 

El listado de las CVE se adjunta a continuación:


Tags: #Microsoft #Patch #Parche #Tuesday #Vulnerabilidad #Windows
  • Productos Afectados
  • Producto Versión
    Productos Microsoft Microsoft Edge
    Microsoft ChakraCore
    Internet Explorer
    SQL Server
    Microsoft JET Database Engine
    Microsoft Office y Office Services y Web Apps
    Microsoft Dynamics
    Visual Studio
    Microsoft Exchange Server
    ASP.NET
    Microsoft OneDrive y Azure DevOps.
    Microsoft Windows 8
    8.1 (32 y 64 bits)
    10 (32 y 64 bits)
    Microsoft Windows Server 2012
    2012 R2
    2016
    2019


© 2019 Entel CyberSecure
Protege tus activos críticos, datos e infraestructura TI y minimiza tus riesgos de fuga de información,
fraude electrónico, espionaje industrial, suplantación de identidades y amenazas Zero Day, con las soluciones y servicios del Centro de Ciberinteligencia de Entel.