Tal y como viene siendo habitual cada mes por estas fechas, empresas como Microsoft y Adobe han publicado boletines de seguridad que solucionan varias vulnerabilidades en sus sistemas y productos. Además, este mes se les ha unid Apple, quien también ha aprovechado par solucionar un importante 0-day.
Parches de octubre de Microsoft y Adobe
En Octubre, Microsoft ha publicado parches para solucionan un total de 81 vulnerabilidades, de las cuales 3 han sido considerado como críticas y se incluye una vulnerabilidad que está siendo explotada activamente según Microsoft. Esta vulnerabilidad, que se está usando en algunos ciberataques, consiste en una elevación de privilegios que afecta a Win32k mediante la cual un atacante local podría conseguir una elevación de privilegios sin interacción del usuario.
Entre las vulnerabilidades críticas solucionadas se encuentran también dos vulnerabilidades de ejecución remota de código en Windows Hyper-V que afectan a múltiples versiones de Windows 10, 11 y Server. Un atacante en la misma red física o lógica y con pocos permisos podría aprovechar esta vulnerabilidad para ejecutar código en el sistema sin interacción del usuario.
Además, también se ha solucionado una nueva vulnerabilidad relacionada con la cola de impresión, tras varios meses encontrando agujeros de seguridad similares. La probabilidad de que se explote esta vulnerabilidad es muy probable por lo que se recomienda parchearla lo antes posible.
Sin embargo, la vulnerabilidad que ha conseguido una puntuación más elevada este mes (9.0) está relacionada con una ejecución de código remoto en Microsoft Exchange Server. Según la información proporcionada el ataque no podría hacerse a través de Internet, lo que limita su impacto, y estarían afectados los sistemas Windows Exchange Server 2013, 2016 y 2019.
Por su parte, Adobe ha lanzado actualizaciones de seguridad para Adobe Acrobat and Reader para Windows y macOS que solucionan múltiples vulnerabilidades críticas y moderadas. En caso de que un atacante consiga explotarlas con éxito podría ejecutar código arbitrario en el contexto del usuario que estuviese activo.
Apple soluciona un nuevo 0-day
Desde hace meses, la empresa de la manzana no ha parado de solucionar numerosos agujeros de seguridad en sus sistemas que estaban siendo aprovechados por atacantes. Con el lanzamiento del iOS 15.0.2 el pasado lunes Apple soluciona otra vulnerabilidad 0-day que podría permitir a los atacantes obtener acceso a información confidencial del usuario.
Sin embargo, la empresa ha vuelto a solucionar un agujero de seguridad sin conceder el crédito que se merece el investigador que lo descubrió y lo reportó hace meses. No es la primera vez que esto sucede y recientemente ya hemos visto casos parecidos con otras vulnerabilidades solucionadas en versiones anteriores de iOS, con varios investigadores indicando haber sufrido un trato similar por parte de Apple.
Esta vulnerabilidad es una de las cuatro que el investigador descubrió y reportó a Apple entre marzo y mayo de este año. Con este último parche y otros lanzados en meses anteriores ya estarían solucionadas todas ellas, por lo que se recomienda mantener nuestros dispositivos iOS como iPhones e iPads actualizados. En caso de que un atacante lograse explotar estas vulnerabilidades podría llegar a obtener acceso y recopilar datos confidenciales como los correos asociados a Apple ID, nombre completo del usuario, tokens de autenticación de Apple, información acerca de las apps instaladas, información de las redes WiFi y registros analíticos tales como información médica y del dispositivo.
Conclusión
Tal y como sucede cada vez que se publican parches y actualizaciones de seguridad, la recomendación es aplicarlos lo antes posible para evitar ser víctima de algún atacante que los aproveche.