Es Martes de parches de abril de 2020y durante estos tiempos difíciles de la pandemia de coronavirus, el proceso de administración de parches de este mes no sería fácil para muchas organizaciones donde la mayoría de los recursos trabajan de forma remota.

Microsoft lanzó hoy el último lote de actualizaciones de seguridad de software para todas las versiones compatibles de sus sistemas operativos Windows y otros productos que corrigen un total de 113 nuevas vulnerabilidades de seguridad, 17 de las cuales son críticas y 96 clasificadas como importantes en gravedad.

Parches para 4 Zero-Days explotados en la naturaleza

Lo que es más importante, se informó que dos de las fallas de seguridad se conocían públicamente en el momento del lanzamiento, y los piratas informáticos están explotando las 3 en la naturaleza.

Una de las fallas divulgadas públicamente, que también fue explotada como día cero, reside en la biblioteca Adobe Font Manager que utiliza Windows, cuya existencia Microsoft reveló el mes pasado en una advertencia de seguridad temprana para sus millones de usuarios.

Rastreada como CVE-2020-1020, la vulnerabilidad de ejecución remota de código existe en Microsoft Windows cuando la biblioteca de Adobe Type Manager de Windows maneja incorrectamente una fuente multimaestro especialmente diseñada: formato Adobe Type 1 PostScript.

Como se explicó en la publicación anterior, la biblioteca de fuentes afectada no solo analiza el contenido cuando se abre con un software de terceros, sino que también la utiliza el Explorador de Windows para mostrar el contenido de un archivo en el ‘Panel de vista previa’ o el ‘Panel de detalles’ sin tener usuarios para abrirlo.

La segunda falla de ejecución remota de código explotada en estado salvaje (CVE-2020-0938) también reside en la biblioteca de Adobe Type Manager que se activa al analizar una fuente OpenType maliciosa.

Ambos defectos de día cero fueron reportado a Microsoft en la última semana de marzo por investigadores que trabajan con Google Project Zero pero con un plazo de divulgación completo muy corto, que luego se extendió mutuamente considerando las circunstancias globales actuales.

El tercer día cero es una vulnerabilidad de elevación de privilegios (CVE-2020-1027) en el kernel de Windows, descubierta por el equipo de Google Project Zero, que afecta a todas las versiones compatibles del sistema operativo Windows, incluidas Windows 10, 8.1 y Server 2008. Ediciones de 2012, 2016 y 2019, así como Windows 7 para el que Microsoft finalizó su soporte en enero de 2020.

Otros errores nuevos que Microsoft corrigió este mes

El segundo problema conocido públicamente, que no se explotó en la naturaleza, es una importante vulnerabilidad de elevación de privilegios (CVE-2020-0935) que reside en el escritorio de OneDrive para Windows.

La última actualización también incluye parches para 5 fallas críticas que afectan a Microsoft Office SharePoint, 4 de las cuales existen debido a la falla del software para verificar el marcado de origen de un paquete de aplicación, lo que permite a atacantes remotos ejecutar código arbitrario en las máquinas afectadas.

Mientras que la quinta falla de SharePoint es un problema de secuencias de comandos entre sitios (XSS) (CVE-2020-0927) que puede aprovechar un atacante autenticado mediante el envío de una solicitud especialmente diseñada a un servidor de SharePoint afectado.

Hay otro defecto notable, rastreado como CVE-2020-0910 y calificado como crítico, que afecta a Windows Hyper-V, lo que permite que una máquina virtual invitada comprometa el hipervisor, escapando de una máquina virtual invitada al host, o escapando de una máquina virtual invitada a otra máquina virtual invitada.

Además de estos, otros defectos críticos que Microsoft corrigió este mes afectan el motor de secuencias de comandos Chakra, Microsoft Dynamics 365 Business Central, la base de medios, los componentes gráficos, la biblioteca de códecs y VBScript, todo lo cual conduce a ataques de ejecución remota de código.

Se recomienda encarecidamente a los usuarios de Windows y a los administradores de sistemas que apliquen los últimos parches de seguridad lo antes posible en un intento de evitar que los ciberdelincuentes y los piratas informáticos tomen el control de sus computadoras.

Para instalar las últimas actualizaciones de seguridad de Windows, puede dirigirse a Configuración → Actualización y seguridad → Actualización de Windows → Buscar actualizaciones en su PC, o puede instalar las actualizaciones manualmente.