Microsoft ha lanzado actualizaciones de seguridad que resuelven un total de 60 nuevas vulnerabilidades, incluidas 18 fallas de ejecución remota de código, como parte de su programa regular de actualizaciones denominado “Martes de Parches», para del mes de Marzo de 2024.
La cantidad de errores en cada categoría de vulnerabilidad se enumera a continuación:
- 24 Vulnerabilidades de elevación de privilegios.
- 3 vulnerabilidades de omisión de funciones de seguridad.
- 18 vulnerabilidades de ejecución remota de código.
- 6 vulnerabilidades de divulgación de información.
- 6 vulnerabilidades de denegación de servicio.
- 2 vulnerabilidades de suplantación de identidad.
Las vulnerabilidades más críticas están identificadas como:
CVE-2024-21400 (puntaje CVSS: 9.0): vulnerabilidad de elevación de privilegios del contenedor confidencial de servicio Microsoft Azure Kubernetes, que podría permitir a un actor malicioso robar credenciales y afectar recursos más allá del alcance de seguridad administrativo.
CVE-2024-21411 (puntaje CVSS: 8.8): vulnerabilidad de ejecución remota de código de Skype para consumidores, que podría permitir a un actor malicioso, enviar al usuario un enlace malicioso o imagen malicioso a través de un mensaje instantáneo convenciendo que haga clic.
CVE-2024-26199 (puntaje CVSS: 7.8): vulnerabilidad de elevación de privilegios de Microsoft Office, cualquier usuario autenticado podría desencadenar esta vulnerabilidad, no requiere administrador ni otros privilegios elevados.
El listado de los productos afectados con severidades más bajas se detallan en:
Productos Afectados:
- .NET
- Azure Data Studio
- Azure SDK
- Microsoft Authenticator
- Microsoft Azure Kubernetes Service
- Microsoft Dynamics
- Microsoft Edge for Android
- Microsoft Exchange Server
- Microsoft Graphics Component
- Microsoft Intune
- Microsoft Office
- Microsoft Office SharePoint
- Microsoft QUIC
- Microsoft Teams for Android
- Microsoft WDAC ODBC Driver
- Microsoft WDAC OLE DB provider for SQL
- Microsoft Windows SCSI Class System File
- Open Management Infrastructure
- Outlook for Android
- Skype for Consumers
- Software for Open Networking in the Cloud (SONiC)
- SQL Server
- Visual Studio Code
- Windows AllJoyn API
- Windows Cloud Files Mini Filter Driver
- Windows Composite Image File System
- Windows Compressed Folder
- Windows Defender
- Windows Error Reporting
- Windows Hyper-V
- Windows Hypervisor-Protected Code Integrity
- Windows Installer
- Windows Kerberos
- Windows Kernel
- Windows NTFS
- Windows ODBC Drivers
- Windows OLE
- Windows Print Spooler Components
- Windows Standards-Based Storage Management Service
- Windows Telephony Server
- Windows Update Stack
- Windows USB Hub Driver
- Windows USB Serial Driver
Recomendación:
Se recomienda instalar las últimas actualizaciones de seguridad a través de la función Windows Update.
Referencia:
- https://support.microsoft.com/es-es/topic/actualizaciones-de-marzo-de-2024-para-microsoft-office-d85bade8-44b4-4d80-900d-f1fd3fcc5e6b
- https://www.bleepingcomputer.com/news/microsoft/microsoft-march-2024-patch-tuesday-fixes-60-flaws-18-rce-bugs/
- https://www.csirt.gov.it/contenuti/aggiornamenti-mensili-microsoft-al01-240313-csirt-ita
- https://nvd.nist.gov/vuln/detail/CVE-2024-21400
- https://nvd.nist.gov/vuln/detail/CVE-2024-21411