Se ha reportado un nuevo aviso de seguridad sobre 90 vulnerabilidades, incluida una de día cero (0-day) que afectan a productos Microsoft, que permitirían a un atacante realizar escalamiento de privilegios, divulgación de información, ejecución remota de código (RCE), entre otros.
Las vulnerabilidades reportadas se componen de 1 (una) de severidad “Crítica”, 59 (cincuenta y nueve) de severidad “Alta”, 17 (diecisiete) de severidad “Media”, 2 (dos) de severidad “Baja” y 11 sin severidad asignada. Las principales se detallan a continuación:
- CVE-2022-37968, de severidad “crítica”, con una puntuación asignada de 10.0. Esta vulnerabilidad se debe a una falla en el clúster de Kubernetes habilitado para Azure Arc. Esto permitiría a un atacante no autenticado realizar escalamiento de privilegios en el sistema.
- CVE-2022-41038, de severidad “alta”, con una puntuación asignada de 8.8. Esta vulnerabilidad se debe a una falla en Microsoft SharePoint Server. Esto permitiría a un atacante realizar ejecución remota de código (RCE) en el sistema.
- CVE-2022-41033, de severidad “alta”, con una puntuación asignada de 7.8. Esta vulnerabilidad de día cero (0-day) se debe a una falla en Windows COM y Event System Service. Esto permitiría a un atacante realizar escalamiento de privilegios de SYSTEM.
Puede acceder a la lista completa de vulnerabilidades en el siguiente enlace.
Los productos afectados son:
- Active Directory Domain Services
- Azure
- Azure Arc
- Client Server Run-time Subsystem (CSRSS)
- Microsoft Edge (Chromium-based)
Puede acceder a la lista completa de los productos afectados en el siguiente enlace.
Recomendamos instalar las actualizaciones correspondientes provistas por el fabricante en el siguiente enlace:
Referencias:
- https://thehackernews.com/2022/10/microsoft-patch-tuesday-fixes-new.html
- https://www.securityweek.com/microsoft-warns-new-zero-day-no-fix-yet-exploited-exchange-server-flaws
- https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-37968
- https://msrc.microsoft.com/update-guide/en-US/security-guidance/advisory/CVE-2022-41038
- https://msrc.microsoft.com/update-guide/en-US/security-guidance/advisory/CVE-2022-41033
- https://nvd.nist.gov/vuln/detail/CVE-2022-37968
- https://nvd.nist.gov/vuln/detail/CVE-2022-41038
- https://nvd.nist.gov/vuln/detail/CVE-2022-41033
- https://support.microsoft.com/en-us