Microsoft lanzará solo cuatro parches importantes

Microsoft lanzará su parche más ligero el martes de la próxima semana, con solo cuatro parches lanzados.

Cubriendo las vulnerabilidades en Windows, Office y Dynamics AX, los tres se califican como «importantes». El parche de Office afecta a un problema de ejecución remota de código, los dos parches de Windows son para la elevación de privilegios y el Dynamics AX es para una falla de denegación de servicio.

Wolfgang Kandek, CTO de Qualys, dijo que espera que uno de los parches de Windows aborde la vulnerabilidad de día cero. CVE-2013-5065 en Windows XP y 2003, que ha sufrido ataques limitados desde finales de noviembre del año pasado. “Estos ataques han estado llegando a través de documentos PDF utilizando una vulnerabilidad ya corregida de Adobe Reader y los usuarios de versiones actualizadas, es decir, la publicación APSB13-15 de mayo de 2013 debería ser inmune a este vector de ataque”, dijo.

Ross Barrett, gerente senior de ingeniería de seguridad en Rapid7, dijo: “El segundo boletín, probablemente MS14-002, abordará los problemas de elevación de privilegios del kernel algo esperados conocidos como CVE-2013-5065, que se informó y divulgó en noviembre con alguna explotación limitada en la naturaleza. El problema solo afecta a los sistemas Windows XP y 2003, pero si los está ejecutando, consideraría esto algo para parchear rápidamente.

“El tercer boletín es otro problema de elevación de privilegios que afecta a Windows 7 y 2008, por lo que si esquivó una bala con CVE-2013-5065, aún se verá afectado por este. No saldré de él este mes.

El cuarto boletín es una denegación de servicio en el producto Microsoft Dynamics que rara vez se ve. Esta es una preocupación tan marginal como puede llegar a ser en términos de avisos de EM.

Es una priorización bastante fácil este mes. Parche MS14-001, luego cualquiera de 002 o 003 que se aplique a usted. Parche el DoS en MS Dynamics cuando esté realmente aburrido en algún momento … no, es broma. Si tiene Dynamics en su entorno, no lo pase por alto. Es el tipo de sistema en el que el tiempo de inactividad puede tener un costo material para su empresa ”.

Andrew Storms, director de operaciones de desarrollo de CloudPassage, hecha el punto de que Microsoft no emitirá un parche para Explorer este mes, potencialmente por primera vez en más de un año. Barratt dijo: “Por primera vez en mucho tiempo, no hay un parche acumulativo de IE. Esto debe ser una indicación de que al equipo de IE finalmente se le permitió tomarse un tiempo libre durante las vacaciones a la luz del agotador 2013 que tuvieron. Espere volver en febrero, sin duda ”.

Kandek dijo: “Si bien no hay ninguna actualización para Internet Explorer, el cuidado de su navegador debería estar entre sus elementos de mayor prioridad. Ejecutar la versión más actualizada del navegador es la mejor manera de lidiar con los ataques basados ​​en la web, que han aumentado su peso en 2013 «.

Lamar Bailey, director de I + D de seguridad en Tripwire, dijo: “Tenga en cuenta que no hay ningún boletín de IE este mes, ya que es algo poco común últimamente y en el frente del sistema operativo no hay parches para los últimos sistemas operativos, solo XP, win 7 y Servidor 2008.

“El único boletín realmente interesante es el boletín de Office que corrige problemas de ejecución remota de código. Parece que Polar Vortex congeló la máquina de parches MS este mes, pero no nos quejamos «.