Martes de parches de octubre: Microsoft corrige un error critico de escritorio remoto

Microsoft corrigio 59 vulnerabilidades en el martes de parches de octubre, incluidas varias vulnerabilidades criticas de ejecucion remota de codigo (RCE).

Uno de las mas importantes fue una vulnerabilidad (CVE-2019-1333) en el Cliente de Escritorio remoto de la empresa que permitiria que un servidor malicioso obtenga el control de un ordenador Windows que se conecte a el. Un atacante podria lograr esto usando ingenieria social, envenenamiento de DNS, un ataque de hombre en el medio o comprometiendo un servidor legitimo, advirtio Microsoft. Una vez comprometido el cliente, pueden ejecutar codigo arbitrario en el.

Otra vulnerabilidad critica de RCE afecto al analizador MS XML en Windows 8.1, Windows 10, Windows Server 2012 hasta 2019 y RT 8.1. Un atacante puede desencadenar la vulnerabilidad CVE-2019-1060 a traves de un sitio web malicioso que invoca el analizador en un navegador.

Un error de corrupcion de memoria en el motor de secuencias de comandos Chakra de Edge (CVE-2019-1366) tambien permite que un sitio web malicioso active un RCE, operando con los privilegios de la cuenta del usuario, mientras que una vulnerabilidad RCE en Azure Stack, la extension local de Microsoft de su servicio en la nube Azure, escapa del sandbox ejecutando codigo arbitrario con la cuenta NT AUTHORITYsystem.

La empresa tambien parcheo un error critico de RCE en VBScript que permite que un atacante corrompa la memoria y tome el control del sistema, generalmente enviando un control ActiveX a traves de un sitio web o documento de Office. Esperemos que los errores en VBScript se vuelvan menos importantes con el tiempo ahora que la empresa ha desaprobado el lenguaje.

Otros errores notables considerados importantes que Microsoft parcheo esta semana incluyeron una vulnerabilidad de suplantacion de identidad en Microsoft Edge y una vulnerabilidad de elevacion de privilegios en el servidor IIS (CVE-2019-1365) que podria permitir que un atacante escapara del entorno limitado de IIS con una solicitud web.

Tambien hubo una vulnerabilidad en la funcion de arranque seguro de Windows que permitiria a un atacante exponer la memoria protegida del nucleo al acceder a la funcionalidad de depuracion que deberia estar protegida. Tendrian que obtener acceso fisico a la maquina para aprovechar este error, etiquetado CVE-2019-1368.

Los usuarios locales del sistema de operaciones y finanzas empresariales de Dynamics 365 deben parchear el error de cross-site scripting CVE-2019-1375 que permite a un atacante secuestrar sesiones de usuario.

Entre las docenas de otros errores que Redmond parcheo esta semana habia una vulnerabilidad de elevacion de privilegios en el cliente de Windows Update. Esta podria permitir que un atacante tome el control de la funcion que actualiza el sistema operativo Windows e instale, cambie o elimine programas a voluntad. Sin embargo, primero tendrian que iniciar sesion en el sistema.

Tambien se incluyeron en el parche paquetes acumulativos mensuales para el error critico de corrupcion de memoria CVE-2019-1367 en Internet Explorer que podria ejecutar el codigo arbitrario en el contexto del usuario actual. Afecta a IE 9, 10 y 11. El mismo paquete acumulativo mensual presenta una actualizacion para el error CVE-2019-1255. Hemos informado sobre estos dos el mes pasado y los parches han estado disponibles desde el 23 de septiembre de 2019. Sin embargo, el parche inicial de dia cero de IE fue confuso y causo problemas, segun los informes.

Fue un mes tranquilo para Adobe, sin parches ni avisos.

Para manteneros al dia de las ultimas amenazas haceros fans de nuestra pagina de Facebook o siguenos en Twitter para intercambiar experiencias en torno al mundo de la seguridad. Si deseas recibir nuestro boletin de seguridad en tu correo electronico, suscribete en la siguiente aplicacion: