Microsoft lanzó hoy su lote de actualizaciones de seguridad de software de junio de 2020 que corrige un total de 129 vulnerabilidades recién descubiertas que afectan a varias versiones de los sistemas operativos Windows y productos relacionados.
Esta es la tercera actualización del martes de parches desde el comienzo del brote global de Covid-19, lo que ejerce una presión adicional sobre los equipos de seguridad que luchan por mantenerse al día con la administración de parches mientras proceden con precaución para no romper nada durante esta temporada de bloqueo.
Los 129 errores en el grupo de junio de 2020 para administradores de sistemas y miles de millones de usuarios incluyen 11 vulnerabilidades críticas, todas conducen a ataques de ejecución remota de código, y 118 clasificadas como importantes en gravedad, que en su mayoría conducen a ataques de suplantación y escalada de privilegios.
De acuerdo con los avisos que Microsoft publicó hoy, afortunadamente, los piratas informáticos no parecen estar explotando ninguna de las vulnerabilidades de día cero en la naturaleza, y los detalles de ninguna de las fallas abordadas este mes se divulgaron públicamente antes de esta publicación.
Una de las fallas notables es una vulnerabilidad de divulgación de información (CVE-2020-1206) en el protocolo Server Message Block 3.1.1 (SMBv3) que, según un equipo de investigadores, puede explotarse en combinación con SMBGhost previamente divulgado (CVE-2020 -0796) falla para archivar ataques de ejecución remota de código. Puede encontrar más detalles sobre esta falla aquí.
Tres errores críticos (CVE-2020-1213, CVE-2020-1216 y CVE-2020-1260) afectan el motor VBScript y existen en la forma en que maneja los objetos en la memoria, lo que permite que un atacante ejecute código arbitrario en el contexto del usuario actual.
Microsoft ha enumerado estas fallas como «Explotación más probable», explicando que ha visto a atacantes explotar fallas similares de manera consistente en el pasado, y puede llevarse a cabo de forma remota a través del navegador, la aplicación o el documento de Microsoft Office que aloja el motor de renderizado de IE.
Uno de los 11 problemas críticos explota una vulnerabilidad (CVE-2020-1299) en la forma en que Windows maneja los archivos de acceso directo (.LNK), lo que permite a los atacantes ejecutar código arbitrario en los sistemas objetivo de forma remota. Al igual que todas las vulnerabilidades anteriores de LNK, este tipo de ataque también podría hacer que las víctimas pierdan el control de sus computadoras o que les roben sus datos confidenciales.
El componente GDI + que permite que los programas usen gráficos y texto formateado en una pantalla de video o una impresora en Windows también se ha encontrado vulnerable a una falla de ejecución remota de código (CVE-2020-1248).
Según Microsoft, la vulnerabilidad GDI + RCE se puede explotar en combinación con una vulnerabilidad de omisión de función de seguridad crítica independiente (CVE-2020-1229) que afecta al software Microsoft Outlook y que podría permitir a los atacantes cargar automáticamente imágenes maliciosas alojadas en un servidor remoto.
«En un escenario de ataque por correo electrónico, un atacante podría explotar la vulnerabilidad enviando la imagen especialmente diseñada al usuario. Un atacante que explotara con éxito esta vulnerabilidad podría hacer que un sistema cargue imágenes remotas. Estas imágenes podrían revelar la dirección IP del sistema de destino al atacante”, dice el aviso.
Además de estos, la actualización de junio de 2020 también incluye un parche para una nueva falla crítica de ejecución remota de código (CVE-2020-9633) que afecta a Adobe Flash Player para sistemas Windows.
Se recomienda que todos los usuarios apliquen los parches de seguridad más recientes lo antes posible para evitar que el malware o los delincuentes los exploten para obtener el control remoto de las computadoras vulnerables.
Para instalar las últimas actualizaciones de seguridad, los usuarios de Windows pueden dirigirse a Inicio> Configuración> Actualización y seguridad> Actualización de Windows, o seleccionando Buscar actualizaciones de Windows.
