Microsoft ha publicado correcciones para un total de 85 vulnerabilidades y exposiciones comunes (CVE) descubiertas recientemente en su lanzamiento del martes de parches de octubre, entre ellas una única vulnerabilidad de día cero, pero aún no se ha movido para parchear otras dos vulnerabilidades de día cero descubiertas en Exchange Server. en septiembre, levantando las cejas en la comunidad.
Las dos vulnerabilidades en Exchange, denominadas informalmente ProxyNotShell, se han explotado activamente durante al menos quince días, pero hasta ahora solo se han abordado en forma de consejos de mitigación defensiva y actualizaciones de Microsoft. Se rastrean como CVE-2022-41040 y CVE-2022-41802.
Dustin Childs de Zero Day Initiative (ZDI) dijo: “ZDI compró estos errores a principios de septiembre y los informó a Microsoft en ese momento. Sin actualizaciones disponibles para abordar completamente estos errores, lo mejor que pueden hacer los administradores es asegurarse de que esté instalada la Actualización acumulativa (CU) de septiembre de 2021.
“Esto agrega el servicio de mitigación de emergencia de Exchange. Esto instala automáticamente las mitigaciones disponibles y envía datos de diagnóstico a Microsoft. De lo contrario, siga esta publicación de Microsoft con la información más reciente. Su consejo de mitigación ha cambiado varias veces, por lo que deberá asegurarse de consultarlo con frecuencia para ver si hay actualizaciones”.
Ankit Malhotra, gerente de ingeniería de firmas de Qualys, agregó: “Vale la pena señalar que Microsoft tuvo que revisar la mitigación para CVE-2022-41040 más de una vez, ya que la mitigación de reescritura de URL sugerida se omitió varias veces.
“Las organizaciones que reaccionaron a la vulnerabilidad de ProxyShell también deberían prestar mucha atención a esto, tomando las lecciones aprendidas sobre la remediación rápida, ya que esta vulnerabilidad puede experimentar una mayor explotación”.
El nuevo día cero es una vulnerabilidad de elevación de privilegios en el servicio de sistema de eventos COM+ de Windows, y es probable que se utilice junto con otras vulnerabilidades para hacerse cargo de un sistema de destino. Se rastrea como CVE-2022-41033.
Mike Walters, vicepresidente de investigación de vulnerabilidades y amenazas en Action1, especialista en administración y monitoreo remoto, dijo que parchear CVE-2022-41033 era absolutamente crítico.
“Ha habido un exploit para esta vulnerabilidad durante mucho tiempo y se puede combinar fácilmente con un exploit RCE. Es una excelente herramienta en el arsenal de un pirata informático para elevar los privilegios en un sistema Windows porque permite que un atacante que tiene acceso local a una máquina obtenga privilegios del sistema y haga lo que quiera con ese sistema de destino.
“Todas las versiones de Windows a partir de Windows 7 y Windows Server 2008 son vulnerables. El servicio del sistema de eventos COM+ de Windows se inicia de forma predeterminada con el sistema operativo y es responsable de proporcionar notificaciones sobre los inicios y cierres de sesión”, dijo.
También cabe destacar este mes CVE-2022-41043, una vulnerabilidad de divulgación de información en Microsoft Office que apunta específicamente a Outlook para Mac, pero tiene una calificación de gravedad particularmente baja y, según Chris Goettl, vicepresidente de administración de productos de seguridad de Ivanti, no hay muestras “reales” de código de explotación disponibles.
“Si bien la divulgación pública definitivamente apunta a un problema, un actor de amenazas no tendrá una muestra viable para comenzar a construir de inmediato”, dijo Goettl al título hermano de Computer Weekly, SearchWindowsServer.com.
En cuanto a los errores críticos, hay 15 clasificados como críticos en la actualización de octubre. Estos son los siguientes:
- CVE-2022-22035, una vulnerabilidad de ejecución remota de código (RCE) en el Protocolo de túnel punto a punto de Windows;
- CVE-2022-24504, una segunda vulnerabilidad RCE en el Protocolo de túnel punto a punto de Windows;
- CVE-2022-30198una tercera vulnerabilidad RCE en el Protocolo de túnel punto a punto de Windows;
- CVE-2022-33634, otra vulnerabilidad RCE en el Protocolo de túnel punto a punto de Windows;
- CVE-2022-34689, una vulnerabilidad de suplantación de identidad en Windows CryptoAPI;
- CVE-2022-37968, una vulnerabilidad de escalada de privilegios en clústeres de Kubernetes habilitados para Azure Arc;
- CVE-2022-37976, una vulnerabilidad de escalada de privilegios en los servicios de certificados de Active Directory;
- CVE-2022-37979, una vulnerabilidad de escalada de privilegios en Windows Hyper-V;
- CVE-2022-38000, otra vulnerabilidad RCE en el Protocolo de túnel punto a punto de Windows;
- CVE-2022-38047, la sexta vulnerabilidad RCE en el Protocolo de túnel punto a punto de Windows;
- CVE-2022-38048, una vulnerabilidad RCE en Microsoft Office;
- CVE-2022-38049, una vulnerabilidad RCE en Microsoft Office Graphics;
- CVE-2022-41031, una vulnerabilidad RCE en Microsoft Word;
- CVE-2022-41038, una vulnerabilidad RCE en Microsoft SharePoint Server;
- Y CVE-2022-41081, que eleva a siete el total de vulnerabilidades RCE críticas en el Protocolo de túnel punto a punto de Windows.