Microsoft publicó ayer, 12 de mayo, sus boletines mensuales de seguridad con los correspondientes parches para solucionar varias vulnerabilidades de diversa gravedad. Nada menos que 111 agujeros de seguridad fueron solucionados con los parches lanzados ayer, una cifra nada desdeñable y que posiciona este mayo de 2020 como uno de los meses en los que más boletines de seguridad se han publicado por parte de la compañía.
Muchas vulnerabilidades pero ningún 0-day
El elevado número de agujeros de seguridad corregidos por Microsoft puede sorprender o incluso preocupar a algunos pero, en realidad, de esas 111 vulnerabilidades descubiertas, solo 13 son consideradas críticas y ninguna estaba siendo aprovechada (que se sepa) para realizar ataques. Del resto de agujeros de seguridad, 91 estarían catalogados como importantes, 3 como moderados y 4 como de baja importancia.
Entre las vulnerabilidades encontradas más interesantes tenemos tres consideradas como críticas y que afectarían al navegador Microsoft Edge. Estos agujeros de seguridad permitirían la ejecución remota de código como si se tratase de un usuario con permisos por parte de un atacante con tan solo conseguir que la víctima visite una web maliciosa especialmente preparada.
También relacionado con la visita a páginas webs maliciosas especialmente preparadas por un atacante tenemos otra vulnerabilidad presente en el módulo de gestión de color (ICM32.dll), permitiendo de nuevo la ejecución remota de código. De forma parecida, se podría aprovechar un agujero de seguridad en Windows Media Foundation que podría ser aprovechado al engañar a un usuario para que abriese un adjunto malicioso en un email o al visitar una web preparada por los atacantes.
Adobe también publica sus parches
Como viene siendo habitual desde hace tiempo, Adobe ha hecho coincidir la publicación de sus propios boletines de seguridad con los de Microsoft. En su caso, han sido 36 las vulnerabilidades solucionadas en productos como Acrobat, Reader y Adobe DNG Software Development Kit.
De estas 36 vulnerabilidades, 16 han sido catalogadas como críticas y podrían ser aprovechadas por los atacantes para la ejecución de código con los permisos que tuviese el usuario activo en ese momento. De todas las vulnerabilidades consideradas como críticas, la mayoría (12) de ellas afectarían a Adobe Acrobat y Reader.
Las cuatro vulnerabilidades críticas restantes afectarían a Adobe DNG Software Development Kit para Windows y macOS. Los parches publicados solucionan numerosas vulnerabilidades del tipo Heap Overflow y de lectura Out-of-Bounds que podrían llegar a permitir la ejecución de código de forma remota y provocar el robo de información confidencial.
Conclusión
Como cada vez que se publican este tipo de actualizaciones que afectan a aplicaciones y sistema operativo, se recomienda implementarlas lo antes posible para evitar que los delincuentes se aprovechen de los sistemas vulnerables. Entendemos que eso es más fácil de decir que de hacer, especialmente en entornos corporativos con un elevado número de equipos, y más en estos momentos con la situación de crisis sanitaria provocada por la pandemia del Covid-19, pero es algo que no se debe postergar demasiado en el tiempo para evitar males mayores.