Perspectiva de Akamai sobre el Patch Tuesday de septiembre de 2023
Como hacemos cada mes, el grupo de inteligencia de seguridad de Akamai ha analizado las vulnerabilidades más interesantes a las que se han aplicado parches.
Administradores de Microsoft: ¡Es hora de prepararse! De las 65 CVE reparadas este mes, solo dos de ellas son críticas. La clasificación de la CVE más alta es de 8,8. También hay dos vulnerabilidades notificadas como explotadas libremente. En comparación con los meses anteriores, estas cifras son de nivel principiante.
En este informe, evaluaremos la importancia real de las vulnerabilidades y lo comunes que son las aplicaciones y los servicios afectados para proporcionar una perspectiva realista sobre los errores que se han corregido. También puede ver un breve resumen del parche en nuestra cuenta de Twitter. Esté atento a esta información los días posteriores a cada Patch Tuesday.
Este es un informe actualizado y añadiremos más información a medida que progrese nuestra investigación. Esté atento.
Este mes, nos centramos en las áreas en las que se han aplicado parches a los errores:
Vulnerabilidades explotadas libremente
CVE-2023-36802 — Proxy del servicio de streaming de Microsoft (CVSS 7,8)
El proxy del servicio de streaming de Microsoft está relacionado con Microsoft Stream, el sucesor de Office 365 Video. El servicio se denomina "MSKSSRV" y está implementado en %WinDir%\System32\drivers\MSKSSRV.sys. La vulnerabilidad se explotó libremente, lo que llevó a una derivación de privilegios.
CVE-2023-36761 — Microsoft Word (CVSS 6,2)
Se ha corregido una vulnerabilidad explotada libremente en Microsoft Word con una puntuación CVSS de 6,2. La vulnerabilidad parece deberse a una coacción en la autenticación de NTLM. La vulnerabilidad también afecta al panel de vista previa.
Esta no es la única vulnerabilidad corregida en Microsoft Word este mes, pues ha habido otra de RCE o ejecución remota de código (CVE-2023-36762) que se ha sufrido en Word. Esta vulnerabilidad también afecta al panel de vista previa, pero según Microsoft, a diferencia de la primera vulnerabilidad, es poco probable que se aproveche.
Microsoft Azure Kubernetes Service
Microsoft Azure Kubernetes Service (AKS) es la plataforma Kubernetes de Microsoft que permite a los usuarios implementar y gestionar su entorno contenedorizado.
Según las notas de Microsoft sobre esta vulnerabilidad, sabemos que este ataque se puede llevar a cabo desde una fuente externa, lo que puede indicar un ataque a la infraestructura de AKS en lugar de al propio clúster.
El resultado final del ataque otorgará a un atacante privilegios de administrador en el clúster de Kubernetes. Aunque esto suena grave, Microsoft también observó que es menos probable que se explote este ataque.
En otras noticias relacionadas con Kubernetes, nuestro equipo de investigación redactó una publicación de blog sobre CVE-2023-3676, una vulnerabilidad permite la ejecución remota de código con privilegios del SISTEMA en todos los terminales de Windows de un clúster de Kubernetes. .
Temas de Windows
Temas de Microsoft es una característica de Windows que permite al usuario cambiar la forma en que se muestran los iconos o las fuentes, entre otros posibles elementos.
Cualquier usuario puede aplicar un tema en un dispositivo, lo que significa que no necesita privilegios. Para aprovechar la vulnerabilidad corregida, un atacante tendría que "engañar" al usuario para que aplicara un archivo de tema malicioso.
De acuerdo con las notas de Microsoft sobre esta vulnerabilidad, sabemos que esta vulnerabilidad supone una RCE en los dispositivos. Asumimos entonces que el archivo del tema descargará un binario de una fuente no autorizada a una ubicación que puede conducir a su ejecución.
Conexión compartida a Internet (ICS)
Se ha descubierto una vulnerabilidad de RCE en el servicio Conexión compartida a Internet (ICS).
ICS es un servicio diseñado para permitir que un host de Windows conectado a Internet actúe como puerta de enlace de Internet a otros hosts de la red local que no tienen acceso directo a Internet.
Este servicio solo está pensado para que lo utilicen los hosts de la misma LAN, lo que podría explicar por qué Microsoft considera que esta vulnerabilidad únicamente puede explotarse desde los hosts del mismo segmento de red.
Excepto para las versiones heredadas de Windows, el servicio ICS "SharedAccess" no debería ejecutarse de forma predeterminada.
Microsoft Exchange Server
Este mes había cinco CVE en Microsoft Exchange Server: tres de ellas permiten la ejecución remota de código (RCE) en el servidor remoto y las otras dos vulnerabilidades relativas al filtrado de información o a suplantación. Todas las vulnerabilidades requieren credenciales de un usuario de Exchange válido.
En nuestras observaciones, hemos visto que aproximadamente el 28 % de los entornos tenían servidores Microsoft Exchange Servers en las instalaciones.
Es importante tener en cuenta que las vulnerabilidades enumeradas aquí recibieron la aplicación de parches en la actualización de software de Exchange de agosto. Por lo tanto, los clientes que han instalado esta actualización ya están protegidos.
Número de CVE |
Efecto |
Acceso requerido |
|---|---|---|
Ejecución remota de código |
Adyacente |
|
Divulgación de información |
Adyacente |
|
Suplantación |
Adyacente |
|
Ejecución remota de código |
Adyacente |
|
Ejecución remota de código |
Adyacente |
Servicios tratados anteriormente
Muchas CVE en el Patch Tuesday de este mes son para sistemas que ya hemos cubierto en el pasado. Si tiene interés en nuestro análisis o nuestras recomendaciones generales sobre esos servicios, le animamos a que consulte nuestras publicaciones anteriores, relativas a nuestras perspectivas sobre el Patch Tuesday en nuestro blog.
Servicio |
Número de CVE |
Efecto |
Acceso requerido |
|---|---|---|---|
Omisión de la función de seguridad |
Red |
||
Suplantación |
Local |
||
Escalada de privilegios |
Local |
||
Escalada de privilegios |
Red |
||
Divulgación de información |
Red |
||
Denegación de servicio |
|||
Omisión de la función de seguridad |
Local |
Este resumen ofrece una descripción general de nuestros conocimientos y recomendaciones actuales, dada la información disponible. Nuestra revisión se lleva a cabo de forma continua y cualquier información aquí contenida está sujeta a cambios. También puede visitar nuestra cuenta de Twitter para conocer las actualizaciones en tiempo real.
