Microsoft parcheó dos días cero, en marzo

Microsoft ha corregido más de 80 vulnerabilidades en la ronda de actualizaciones del martes de parches de este mes, incluidas dos de día cero que están siendo explotadas activamente.

Una de ellas es CVE-2023-23397, un fallo crítico de elevación de privilegios en Outlook con una puntuación CVSS de 9,8.

“El ataque puede ejecutarse sin interacción del usuario mediante el envío de un mensaje de correo electrónico especialmente diseñado que se activa automáticamente al ser recuperado por el servidor de correo electrónico. Esto puede conducir a la explotación incluso antes de que el correo electrónico se vea en el panel de vista previa”, explicó el vicepresidente de investigación de vulnerabilidades y amenazas de Action1, Mike Walters.

“Si se explota con éxito, un atacante puede acceder al hash Net-NTLMv2 de un usuario, que puede utilizarse para ejecutar un ataque pass-the-hash en otro servicio y autenticarse como el usuario”.

El fallo fue notificado por el Equipo de Respuesta a Emergencias Informáticas de Ucrania (CERT-UA), que insinuó que estaba siendo explotado activamente por agentes de amenazas rusos.

El segundo día cero, CVE-2023-24880, es un desvío de la función de seguridad de Windows SmartScreen.

Permite a los atacantes crear un archivo malicioso capaz de eludir las defensas MOTW (Mark-of-the-Web) en funciones como la vista protegida de Office, según Microsoft.

“Esta CVE afecta a todas las versiones actualmente soportadas del sistema operativo Windows”, explicó Chris Goettl, vicepresidente de productos de seguridad de Ivanti. La puntuación CVSS es sólo 5,4, lo que puede pasar desapercibido para muchas organizaciones, y por sí sola esta CVE puede no ser tan amenazadora, pero es probable que se utilizara en una cadena de ataque con exploits adicionales”. Dar prioridad a la actualización del sistema operativo de este mes reduciría el riesgo para su organización”.

De las nueve CVE críticas enumeradas este mes, la CVE-2023-21708 también debería ser una prioridad para los equipos de seguridad, argumentó Gal Sadeh, jefe de investigación de datos y seguridad de Silverfort. Se refiere a un fallo de ejecución remota de código en Remote Procedure Call Runtime que permite a atacantes no autentificados ejecutar comandos remotos en una máquina objetivo.