Con la actualización de de mayo de 2021, Microsoft ha solucionado 55 vulnerabilidades, con 4 de ellas clasificadas como críticas, 50 como importantes y una como moderada. Además, la empresa confirma que solucionó tres vulnerabilidades Zero-Day. Vulnerabilidades críticas especialmente en HTTP Protocol Stack (http.sys), un RCE (ejecución remota de código) en la pila protocolo HTTP (CVE-2021-31166), vulnerabilidad con capacidad de propagarse vía gusano (Wormable) con una puntuación de gravedad de CVSS de 9.8 sobre 10. Al igual que la vulnerabilidad en Hyper-V, otro RCE en Hyper-V (CVE-2021-28476) con puntuación CVSS de 9.9
Microsoft
Las cuatro vulnerabilidades críticas solucionan problemas de día cero que se divulgaron públicamente, aunque no se sabe que hayan sido utilizadas en ataques in-the-wild.
- CVE-2021-31166 (crítica) - HTTP.sys Protocol Stack Remote Code Execution Vulnerability
- CVE-2021-26419 (crítica) - Scripting Engine Memory Corruption Vulnerability en Internet Explorer.
- CVE-2021-28476 (crítica) - Remote Code Execution Vulnerability en Hyper-V
- CVE-2021-31194 (crítica) - OLE Automation Remote Code Execution Vulnerability
Otras vulnerabilidades importantes a tener en cuenta:
- CVE-2021-31204 - .NET and Visual Studio Elevation of Privilege Vulnerability
- CVE-2021-31207 - cinco vulnerabilidades en Microsoft Exchange Server Security Feature Bypass Vulnerability. Una de estas fue utilizada por en el desafío de Pwn2Own de 2021. No está claro si es la vulnerabilidad revelada por Devcore o Team Viettel.
- CVE-2021-31200 - Common Utilities Remote Code Execution Vulnerability. Esta vulnerabilidad es para el kit de herramientas NNI (Neural Network Intelligence) de Microsoft y fue revelada por Abhiram V de Resec System en GitHub.
Se espera que los actores de amenazas analicen los parches para crear exploits para las vulnerabilidades, especialmente la de Microsoft Exchange. Por lo tanto, es vital aplicar las actualizaciones de seguridad lo antes posible.
Actualizaciones de seguridad Adobe
- Adobe publicó actualizaciones de seguridad para Adobe Creative Cloud Desktop, Framemaker y Connect. Especialmente el CVE-2021-28550 que es una vulnerabilidad use-after-free que se ha estado explotando en Windows.
Las aplicaciones actualizadas incluyen Adobe Experience Manager, Adobe InDesign, Adobe Illustrator, Adobe InCopy, Adobe Genuine Service, Adobe Acrobat and Reader, Magento, Adobe Creative Cloud Desktop Application, Adobe Media Encoder, dobe After Effects, Adobe Medium y Adobe Animate.
Adobe corrige la vulnerabilidad de día cero de Reader
De particular preocupación, Adobe advierte que una de las vulnerabilidades de Adobe Acrobat y Reader rastreadas como CVE-2021-28550 ha sido explotada en forma salvaje en ataques limitados contra Adobe Reader en dispositivos Windows.
CVE-2021-28550 es una vulnerabilidad de ejecución remota de código que podría permitir a los atacantes ejecutar casi cualquier comando en Windows, incluida la instalación de malware y la posibilidad de apoderarse de la computadora.
Considerando que se sabe que la vulnerabilidad Adobe Acrobat & Reader CVE-2021-28550 se usa en ataques activos.
En la mayoría de los casos, los usuarios pueden actualizar su software mediante la función de actualización automática del producto mediante los siguientes pasos:
- Accediendo a Ayuda> Buscar actualizaciones.
- Los instaladores de actualizaciones completos se pueden descargar desde el Centro de descargas de Adobe.
- Dejar que los productos se actualicen automáticamente, sin requerir la intervención del usuario, cuando se detecten actualizaciones.
Si la nueva actualización no está disponible a través de la actualización automática, puede consultar los boletines de seguridad vinculados anteriormente para obtener los enlaces de descarga más recientes.
La lista completa de productos de Adobe que recibieron actualizaciones de seguridad se enumeran a continuación:
- Administrador de experiencias de Adobe | APSB21-15: Se corrigieron 1 x ejecución de código crítico en el navegador y 1 vulnerabilidades de DoS importantes. También hubo numerosas actualizaciones de dependencias que tienen vulnerabilidades conocidas.
- Adobe InDesign | APSB21-22: 3 Se corrigieron las vulnerabilidades críticas de ejecución de código.
- Adobe Illustrator | APSB21-24: 5 Se corrigieron las vulnerabilidades críticas de ejecución de código.
- Adobe InCopy | APSB21-25: 1 Se corrigió la vulnerabilidad de ejecución de código crítico.
- Servicio original de Adobe | APSB21-27: 1 Se corrigió una vulnerabilidad importante.
- Adobe Acrobat | APSB21-29: 10 vulnerabilidades críticas y 4 importantes corregidas.
- Magento | APSB21-30: 1 vulnerabilidades importantes y 6 moderadas corregidas.
- Aplicación de escritorio Adobe Creative Cloud | APSB21-31: 1 Se corrigió un error crítico de escalada de privilegios.
- Codificador de medios de Adobe | APSB21-32: 1 Se corrigió una vulnerabilidad importante.
- Adobe After Effects | APSB21-33: este boletín aún no está disponible.
- Adobe Medium | APSB21-34: 1 Se corrigió la vulnerabilidad de ejecución de código crítico.
- Adobe Animate | APSB21-35: Se corrigieron 2 errores críticos de ejecución de código y 5 vulnerabilidades importantes.
- En total, se corrigieron 43 vulnerabilidades, sin incluir las dependencias en Adobe Experience Manager.
- De todas las actualizaciones de seguridad de Adobe publicadas hoy, Adobe Acrobat & Reader tuvo la mayor cantidad de correcciones, con 14 vulnerabilidades.
Actualizaciones de seguridad para Android, Apple, Cisco, SAP y VMWare
- Las actualizaciones de seguridad de mayo de Android se lanzaron la semana pasada.
- Apple lanzó actualizaciones de seguridad para iOS, macOS, iPadOS, watchOS y Safari que corrigieron las vulnerabilidades de Webkit explotadas activamente.
- Cisco lanzó actualizaciones de seguridad para numerosos productos este mes.
- SAP lanzó sus actualizaciones de seguridad de mayo de 2021.
- VMware lanzó actualizaciones de seguridad en mayo [1, 2].
Fuentes:
No hay comentarios:
Publicar un comentario