Microsoft ha lanzado actualizaciones de seguridad que subsanan múltiples vulnerabilidades, que permitirían a un atacante realizar ejecución remota de código (RCE), escalamiento de privilegios, divulgación de información, denegación de servicio (DoS), entre otros.
Microsoft ha lanzado actualizaciones de seguridad, en un anuncio oficial del mes de marzo que subsanan un total de 145 vulnerabilidades: 3 de severidad crítica, 122 de severidad alta, 3 de severidad media y 17 sin severidad asignada. Entre ellas se destacan:
- CVE-2022-24491, CVE-2022-24497 ambas de severidad crítica, con una puntuación asignada de 9.8. Estas vulnerabilidades corresponden a una incorrecta validación de datos de entrada, en el sistema de archivos de red de Windows cuando el rol NFS está habilitado. Un atacante remoto podría enviar una solicitud especialmente diseñada y realizar una ejecución remota de código (RCE) en el sistema de destino.
- CVE-2022-26809 de severidad crítica, con una puntuación asignada de 9.8. Esta vulnerabilidad corresponde a una incorrecta validación de datos de entrada, en el tiempo de ejecución de llamadas a procedimientos remotos. Un atacante remoto puede enviar una llamada RPC especialmente diseñada a un host RPC y realizar la ejecución remota de código (RCE) en el sistema de destino.
- CVE-2022-24541 de severidad alta, con una puntuación asignada de 8.8. Esta vulnerabilidad corresponde a una incorrecta validación de datos de entrada, proporcionada por el usuario en el servicio Windows Server. Un atacante remoto podría enviar paquetes SMB especialmente diseñados al puerto TCP 445 y realizar ejecución remota de código (RCE) en el sistema.
Se puede acceder al listado completo de las vulnerabilidades subsanadas aquí.
Recomendamos actualizar el sistema operativo descargando e instalando las actualizaciones proveídas por Microsoft, a través de la siguiente guía:
Referencias:
- https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-24491
- https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-24497
- https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-26809
- https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-245541
- https://www.bleepingcomputer.com/news/microsoft/microsoft-april-2022-patch-tuesday-fixes-119-flaws-2-zero-days/