viernes, 11 de septiembre de 2020

Microsoft corrige 129 vulnerabilidades de seguridad en septiembre

129 vulnerabilidades corregidas por Microsoft en septiembre. Como de costumbre este año, pasando de las 100 y a segunda vez que más fallos corrige en un mes (empate con junio). Sin duda 2020 terminará muy por encima de las 1000. Una vulnerabilidad crítica de ejecución remota de código en Microsoft Exchange y otra en Microsoft SharePoint son dos de las más importantes que se corrigieron en el paquete de actulizaciones de septiembre. 23 de estas vulnerabilidades se enumeran como críticas, 105 son importantes y 1 es de gravedad moderada.





  • 23 vulnerabilidades críticas reparadas en actualización de septiembre de Microsoft
Productos afectados:

  • Microsoft Windows
  • Microsoft Edge (EdgeHTML-based)
  • Microsoft Edge (Chromium-based)
  • Microsoft ChakraCore
  • Internet Explorer
  • SQL Server
  • Microsoft JET Database Engine
  • Microsoft Office and Microsoft Office Services and Web Apps
  • Microsoft Dynamics
  • Visual Studio
  • Microsoft Exchange Server
  • SQL Server
  • ASP.NET
  • Microsoft OneDrive
  • Azure DevOps

129 vulnerabilidades corregidas por Microsoft en septiembre. Como de costumbre este año, pasando de las 100 y al igual que junio, la segunda vez que más fallos corrige en un mes. Sin duda 2020 terminará muy por encima de las 1000 vulnerabilidades corregidas. Especial gravedad una ejecución remota de código en SharePoint CVE-2020-1210, aunque este mes se han centrado en la herramienta: 16 fallos corregidos, 6 XSS y 7 ejecuciones de código tanto en cliente como en servidor además de otras de diferente índole.

Otra vulnerabilidad importante en Exchange, que lleva un muy mal año de fallos. CVE-2020-16875 permitiría ejecutar con SYSTEM en el servidor Exchange con solo enviar un correo. Existe una tercera ejecución de código en Active Directory, en el que un usuario del directorio podría elevar en el servidor.

Por su complejidad, el fallo en el Microsoft Component Object Model (COM) de Windows (CVE-2020-0922) se debe tener especialmente en cuenta puesto que podría impactar de múltiples formas en el sistema.

Por último, una vulnerabilidad interesante es CVE-2020-0951 que permite a un administrador eludir Windows Defender Application Control (WDAC), aunque no se han dado detalles.
Ningún fallo de los corregidos se conocía con anterioridad ni estaba siendo aprovechado por atacantes.


Otro dato relevante es que 32 de las vulnerabilidades reparadas son de ejecución remota de código y 20 de las mismas fueron clasificadas como críticas. Recordemos que la posibilidad de ejecutar código arbitrario podría permitir a un atacante acceder, modificar o eliminar datos, así como instalar programas.

Una de las vulnerabilidades críticas que más se destaca es la CVE-2020-16875. Se trata de un fallo de corrupción de memoria que existe en las versiones 2016 y 2019 de Microsoft Exchange server. El mismo permitiría a un atacante la ejecución remota de código y puede ser explotado mediante el envío de un correo electrónico especialmente diseñado a un servidor Exchange, aunque según señala Microsoft, su probabilidad de explotación es baja.

En el caso de Microsoft SharePoint, este mes se repararon un total de 16 vulnerabilidades, 6 de cross-site scripting (XSS) y 7 de ejecución de código, que a su vez forman parte del listado de vulnerabilidades críticas corregidas este mes. Entre ellas se destaca la CVE-2020-1210, cuya severidad según la escala CVSS es de 9.9 sobre 10.

Microsoft Office RCE

Microsoft ha publicado las actualizaciones de seguridad de Office de septiembre de 2020 con un total de 30 actualizaciones de seguridad y 5 actualizaciones acumulativas para 7 productos diferentes, solucionando 13 vulnerabilidades que podrían permitir a los atacantes remotos ejecutar código arbitrario en sistemas vulnerables.

Redmond también emitió las actualizaciones de seguridad del martes de parches de septiembre de 2020, con actualizaciones de seguridad para 129 vulnerabilidades, 23 calificadas como críticas y 105 como importantes.

All September 2020 Patch Tuesday Microsoft Office security advisories:
Tag CVE ID Title Severity
Microsoft Office CVE-2020-1594 Microsoft Excel Remote Code Execution Vulnerability Important
Microsoft Office CVE-2020-1335 Microsoft Excel Remote Code Execution Vulnerability Important
Microsoft Office CVE-2020-16855 Microsoft Office Information Disclosure Vulnerability Important
Microsoft Office CVE-2020-1338 Microsoft Word Remote Code Execution Vulnerability Important
Microsoft Office CVE-2020-1332 Microsoft Excel Remote Code Execution Vulnerability Important
Microsoft Office CVE-2020-1224 Microsoft Excel Information Disclosure Vulnerability Important
Microsoft Office CVE-2020-1218 Microsoft Word Remote Code Execution Vulnerability Important
Microsoft Office CVE-2020-1193 Microsoft Excel Remote Code Execution Vulnerability Important
Microsoft Office SharePoint CVE-2020-1345 Microsoft Office SharePoint XSS Vulnerability Important
Microsoft Office SharePoint CVE-2020-1205 Microsoft SharePoint Spoofing Vulnerability Important
Microsoft Office SharePoint CVE-2020-1210 Microsoft SharePoint Remote Code Execution Vulnerability Critical
Microsoft Office SharePoint CVE-2020-1514 Microsoft Office SharePoint XSS Vulnerability Important
Microsoft Office SharePoint CVE-2020-1595 Microsoft SharePoint Remote Code Execution Vulnerability Critical
Microsoft Office SharePoint CVE-2020-1523 Microsoft SharePoint Server Tampering Vulnerability Important
Microsoft Office SharePoint CVE-2020-1440 Microsoft SharePoint Server Tampering Vulnerability Important
Microsoft Office SharePoint CVE-2020-1200 Microsoft SharePoint Remote Code Execution Vulnerability Critical
Microsoft Office SharePoint CVE-2020-1482 Microsoft Office SharePoint XSS Vulnerability Important
Microsoft Office SharePoint CVE-2020-1198 Microsoft Office SharePoint XSS Vulnerability Important
Microsoft Office SharePoint CVE-2020-1227 Microsoft Office SharePoint XSS Vulnerability Important
Microsoft Office SharePoint CVE-2020-1576 Microsoft SharePoint Remote Code Execution Vulnerability Critical
Microsoft Office SharePoint CVE-2020-1452 Microsoft SharePoint Remote Code Execution Vulnerability Critical
Microsoft Office SharePoint CVE-2020-1575 Microsoft Office SharePoint XSS Vulnerability Important
Microsoft Office SharePoint CVE-2020-1453 Microsoft SharePoint Remote Code Execution Vulnerability Critical
Microsoft Office SharePoint CVE-2020-1460 Microsoft SharePoint Server Remote Code Execution Vulnerability Critical


Adobe Flash Player


Una vez más, no hay actualizaciones de seguridad disponibles para Flash Player, aunque Adobe envió una actualización que no es de seguridad, sino de rendimiento, para el complemento del navegador. La última vez que Flash Player recibió una actualización de seguridad fue en junio de 2020, lo que puede sugerir que los investigadores y / o atacantes han dejado de buscar vulnerabilidades en ella. Adobe retirará el complemento a fines de este año, y Microsoft planea eliminar completamente el programa de todos los navegadores de Microsoft a través de Windows Update para entonces.


Para instalar actualizaciones de seguridad, hay que diríjirse a Configuración → Actualización y seguridad → Actualización de Windows → Buscar actualizaciones o instalar las actualizaciones manualmente.

Fuentes:

No hay comentarios:

Publicar un comentario