Microsoft lanza 14 parches, con nueve calificados como críticos

Microsoft lanzó 14 actualizaciones de seguridad anoche, nueve de las cuales fueron calificadas como críticas.

Abordar 33 vulnerabilidades y exposiciones comunes (CVE) en Windows, Internet Explorer, Office, .NET Framework y el protocolo de escritorio remoto.
Russ Ernst, director de gestión de productos en Lumension, dijo: «Si bien disfrutamos de un número relativamente bajo de parches cada mes en lo que va de año, noviembre definitivamente da un gran salto con 14 boletines en total publicados hoy: cuatro son críticos, ocho importantes y dos moderados.

“Si bien esto es dos menos de lo que pensamos que tendríamos hoy según el ANS de la semana pasada, todavía tenemos que remontarnos a septiembre del año pasado para la última vez que Microsoft publicó tantos boletines en un solo mes. Sin embargo, la buena noticia es el recuento de CVE. Solo 33 CVE significa menos oportunidades para los malos, pero debido a que el software afectado está muy extendido, este martes de parches sigue siendo mucho trabajo para TI «.

Desde que se lanzó el parche, Microsoft reveló que MS14-064 debería ser el parche de primera prioridad, ya que actualmente está siendo explotado en la naturaleza. Este boletín aborda 2 CVE en un componente OLE de Windows que podría permitir la ejecución remota de código.

Wolfgang Kandek, CTO de Qualys, dijo: “El boletín más importante, MS14-064, aborda una vulnerabilidad actual de 0 días: CVE-2014-6352 en el empaquetador OLE de Windows para Vista y versiones más recientes del sistema operativo. Los atacantes han abusado de la vulnerabilidad para obtener la ejecución del código enviando archivos de PowerPoint a sus objetivos.

“Microsoft había reconocido previamente la vulnerabilidad en los avisos de seguridad KB3010060 y ofreció una solución alternativa con EMET y un parche temporal en forma de FixIt. Esta es la solución final para OLE Packager (Microsoft ya había parcheado el mismo software en octubre con MS14-060 ) que debería abordar todos los vectores de exploits conocidos «.

Craig Young, investigador de seguridad de Tripwire, dijo: “Es posible que algunos administradores deseen priorizar esto sobre el parche de Internet Explorer, a pesar de que hemos visto ataques que hemos visto en la naturaleza contra el navegador. Esto se debe a que MS14-066 tiene el potencial de ser explotado sin interacción del usuario.

“Afortunadamente, la evaluación de Microsoft es que la explotación confiable de este error será complicada. Con suerte, esto les dará a los administradores tiempo suficiente para parchear sus sistemas antes de que veamos vulnerabilidades «.

Entre otros parches, Kandek recomendó mirar a continuación MS14-066, un parche para Internet Explorer que corrige 17 vulnerabilidades. «La más grave de estas vulnerabilidades podría utilizarse para obtener el control de la máquina objetivo», dijo.

“Un ataque tomará la forma de una página web maliciosa a la que el usuario objetivo tiene que navegar. Hay dos escenarios básicos que los atacantes utilizan con frecuencia: en el primero, el usuario accede al sitio por su propia voluntad, tal vez como parte de una rutina diaria, pero el atacante ha obtenido el control del sitio web en cuestión a través de una vulnerabilidad separada y puede para plantar contenido malicioso en el sitio «.

Ross Barrett, gerente senior de ingeniería de seguridad en Rapid7, dijo: “Todas las versiones compatibles de Windows se ven afectadas por los problemas críticos, con la excepción menor de Server Core que no tiene exposición a Internet Explorer. Los sistemas perimetrales son a menudo de misión crítica y necesitan la atención más rápida. Los administradores deberán equilibrar el riesgo de explotación con su exposición percibida y su tolerancia al tiempo de inactividad «.