Es esa época del mes en que Microsoft lanzó su Patch Tuesday destinado a corregir vulnerabilidades. Últimos meses Parche martes planteó algunos problemas para los usuarios como todavía estaban causando errores, siendo "a medio cocer". Este es el octavo Parche martes del año y viene con ocho nuevos boletines de seguridad (¿coincidencia?) con solo tres calificados como "Críticos" y cinco como "Importantes".
Los ocho boletines de seguridad publicados por Microsoft abordar 23 vulnerabilidades desde Windows, Internet Explorer y Exchange. Los parches más importantes, según la recomendación de Microsoft, son MS13-059 (Internet Explorer) y MS13-060 (Windows XP y Server 2003). Después de aplicar esos parches de primera prioridad, debe parchear todos los demás programas de Microsoft que esté utilizando para asegurarse de tener una seguridad de primer nivel.
23 vulnerabilidades encontradas en Patch Tuesday
El boletín de seguridad MS13-059 es una importante actualización de seguridad para Internet Explorer que cubre 11 vulnerabilidades reveladas de forma privada. No sabemos si estos se han utilizado ampliamente o si los piratas informáticos los han explotado en gran medida.
Las vulnerabilidades más graves podrían permitir la ejecución remota de código si un usuario ve una página web especialmente diseñada mediante Internet Explorer. Un atacante que aproveche con éxito la más grave de estas vulnerabilidades podría obtener los mismos derechos de usuario que el usuario actual.
El boletín de seguridad MS13-060 corrige una vulnerabilidad encontrada en el procesador de secuencias de comandos Unicode de Microsoft Exchange Server, que permite a los piratas informáticos la representación de fuentes como un vector de ataque. Wolfgang Kandek, CTO de Qualys, explicó:
Las fuentes se dibujan a nivel del kernel, por lo que si puede influir de alguna manera en el dibujo de las fuentes y desbordarlo. Esto le daría al atacante el control sobre la computadora de la víctima.
Amol Sarwate, director de Qualys Vulnerability Labs:
Es un vector de ataque muy atractivo. Todo lo que un atacante tendría que hacer es dirigir a la víctima a un documento, correo electrónico o página web maliciosa para aprovechar la vulnerabilidad.
Además de lo anterior, aquí hay algunos otros aspectos destacados y "ventajas" del Patch Tuesday de este mes y la descripción del resto de los boletines de seguridad:
- MS13-061 - Bibliotecas Oracle de vulnerabilidad "Outside In"
- MS13-062 - vulnerabilidad que afecta al código de manejo de RPC en todas las versiones de Windows
- MS13-063 - omisión de ASLR (asignación al azar del diseño del espacio de direcciones) y 3 vulnerabilidades de corrupción del kernel para permitir la elevación de privilegios
- MS13-064 - vulnerabilidad de denegación de servicio única en el controlador NAT de Windows Server 2012
- MS13-065 - vulnerabilidad de denegación de servicio única en la pila IPv6 en todas las versiones de Windows excepto XP y Server 2003
- MS13-066 - vulnerabilidad de divulgación de información en los servicios de federación de Active Directory (AD FS) en todas las versiones de Windows Server basadas en Intel que no sean Server Core.
Además de esto, Microsoft también ha actualizado Windows 8 y RT "para mejorar la funcionalidad de protección en Windows Defender".
