Microsoft emitió actualizaciones para tapar más de 70 agujeros de seguridad en sus sistemas operativos Windows y otro software, incluida una vulnerabilidad que ya está siendo explotada. El martes de parches de este mes también incluye correcciones de seguridad para el sistema operativo Windows 11 recientemente lanzado. Por otro lado, Apple ha lanzado actualizaciones para iOS y iPadOS para abordar una falla que está siendo atacada activamente.

Apple

En primer lugar, Apple ha lanzado iOS 15.0.2 y iPadOS 15.0.2 para corregir una vulnerabilidad de día cero (CVE-2021-30883) que se está aprovechando en ataques activos dirigidos a usuarios de iPhone y iPad. El error podría usarse para robar datos o instalar malware, y que poco después de que Apple corrigiera el error, el investigador de seguridad Saar Amar publicó un informe técnico y un exploit de prueba de concepto derivado de la ingeniería inversa del parche de Apple.

La lista de dispositivos Apple afectados es bastante extensa y afecta a los modelos más antiguos y más nuevos. Si posee un iPad o iPhone, o cualquier otro dispositivo de Apple, asegúrese de que esté actualizado con los últimos parches de seguridad.

Microsoft

Tres de las debilidades que Microsoft abordó hoy abordan vulnerabilidades calificadas como "críticas", lo que significa que el malware o los delincuentes podrían explotarlas para obtener un control remoto completo sobre los sistemas vulnerables, con poca o ninguna ayuda de los objetivos.

Uno de los errores críticos se refiere a Microsoft Word, y otros dos son fallas de ejecución de código remoto en Windows Hyper-V, el componente de virtualización integrado en Windows. CVE-2021-38672 afecta a Windows 11 y Windows Server 2022; CVE-2021-40461 afecta a los sistemas Windows 11 y Windows 10, así como a las versiones del servidor.

Pero, como de costumbre, algunas de las debilidades de seguridad más preocupantes abordadas este mes obtuvieron la designación de "importante" un poco menos grave de Microsoft, que se aplica a una vulnerabilidad "cuya explotación podría resultar en un compromiso de la confidencialidad, integridad o disponibilidad de los datos del usuario, o de la integridad o disponibilidad de los recursos de procesamiento ".

La falla que está bajo ataque activo, CVE-2021-40449, es una vulnerabilidad importante de "elevación de privilegios", lo que significa que se puede aprovechar en combinación con otra vulnerabilidad para permitir que los atacantes ejecuten el código de su elección como administrador en un sistema vulnerable.

MysterySnail

A finales de agosto y principios de septiembre de 2021, Kaspersky detectó ataques mediante el uso de un exploit de elevación de privilegios en varios servidores de Microsoft Windows. El nuevo exploit está basado en otro más más antiguo y conocido públicamente desde 2016 (CVE-2016-3309), pero un análisis más detallado reveló que era un Zero-Day.

Este Zero-Day está usando una vulnerabilidad previamente desconocida en el controlador Win32k y la explotación se basa en gran medida en una técnica para filtrar las direcciones base de los módulos del kernel. Microsoft asignó CVE-2021-40449 a esta vulnerabilidad use-after-free en el controlador del kernel Win32k y fue parcheada el 12 de octubre de 2021, como parte del martes de parches de octubre. 

  Además de encontrar este día cero in-the-wild, Kaspersky analizó el malware utilizado junto con el exploit y descubrieron que se detectaron variantes del malware en campañas de espionaje generalizadas contra empresas de TI, contratistas militares/defensa y entidades diplomáticas.

Kaspersky llamó a este ataque MysterySnail. La similitud de código y la reutilización de la infraestructura C2 que descubrieron permite conectar estos ataques con el actor conocido como IronHusky y la actividad APT de habla china que se remonta a 2012.

Este exploit  de elevación de privilegios funciona en los siguientes productos de Windows:

• Microsoft Windows Vista
• Microsoft Windows 7
• Microsoft Windows 8
• Microsoft Windows 8.1
• Microsoft Windows Server 2008
• Microsoft Windows Server 2008 R2
• Microsoft Windows Server 2012
• Microsoft Windows Server 2012 R2
• Microsoft Windows 10 (compilación 14393)
• Microsoft Windows Server 2016 (compilación 14393)
• Microsoft Windows 10 (compilación 17763)
• Microsoft Windows Server 2019 (compilación 17763)

Windows Print Spooler

CVE-2021-36970 es una importante vulnerabilidad de suplantación de identidad en Windows Print Spooler de Microsoft. La falla fue descubierta por los mismos investigadores a los que se les atribuye el descubrimiento de una de las dos vulnerabilidades que se conocieron como PrintNightmare: la explotación generalizada de una falla crítica de Print Spooler que obligó a Microsoft a emitir una actualización de seguridad de emergencia en julio. Microsoft evalúa CVE-2021-36970 como "más probable explotación".

"Si bien no se han compartido detalles públicamente sobre la falla, definitivamente es algo a tener en cuenta, ya que vimos un flujo constante de vulnerabilidades relacionadas con Print Spooler parcheadas durante el verano, mientras que los grupos de ransomware comenzaron a incorporar PrintNightmare en su libro de jugadas de afiliados", dijo Satnam. Narang, ingeniero de investigación de planta de Tenable. "Recomendamos encarecidamente a las organizaciones que apliquen estos parches lo antes posible".

Microsoft Exchange

CVE-2021-26427 es otro error importante en Microsoft Exchange Server, que últimamente ha estado bajo el asedio de los atacantes. En marzo, los actores de amenazas se abalanzaron sobre cuatro fallas separadas de día cero en Exchange que les permitieron desviar el correo electrónico e instalar puertas traseras en cientos de miles de organizaciones.

El error de Exchange de este mes obtuvo una puntuación CVSS de 9,0 (10 es el más peligroso). Kevin Breen de Immersive Labs señala que Microsoft ha marcado esta falla como menos propensa a ser explotada, probablemente porque un atacante ya necesitaría acceder a su red antes de usar la vulnerabilidad.

“Los servidores de correo electrónico siempre serán objetivos principales, simplemente debido a la cantidad de datos contenidos en los correos electrónicos y la variedad de posibles formas en que los atacantes podrían usarlos con fines maliciosos. Si bien no está en la parte superior de mi lista de prioridades para parchear, ciertamente es uno de los que debo tener cuidado ".

Adobe

También hoy, Adobe emitió actualizaciones de seguridad para una variedad de productos, incluidos Adobe Reader y Acrobat, Adobe Commerce y Adobe Connect.

Fuentes:
https://blog.segu-info.com.ar/2021/10/mysterysnail-vulnerabilidad-critica-en.html

https://krebsonsecurity.com/2021/10/patch-tuesday-october-2021-edition/