Las vulnerabilidades «zero-day» acechan en la abarrotada actualización de «Patch Tuesday» de octubre de Microsoft

La ac­tua­li­za­ción de se­gu­ri­dad de Mi­cro­soft co­rres­pon­dien­te a oc­tu­bre ha su­pe­ra­do los re­gis­tros pre­vios en cuan­to a la can­ti­dad de vul­ne­ra­bi­li­da­des tra­ta­das, in­clu­yen­do de­ce­nas de fa­llos crí­ti­cos y dos erro­res de tipo cero-día. La mayor parte de los pro­ble­mas de se­gu­ri­dad de­tec­ta­dos co­rres­pon­den a Win­dows, se­gui­dos por otros pro­duc­tos y he­rra­mien­tas de la com­pa­ñía. Ex­per­tos en se­gu­ri­dad re­co­mien­dan a los equi­pos no cen­trar­se en el vo­lu­men total de vul­ne­ra­bi­li­da­des, sino prio­ri­zar aque­llos ries­gos que sean ex­plo­ta­bles y tomar me­di­das para mi­ti­gar­los.

Uno de los erro­res de tipo cero-día que cuen­ta con ex­plo­ta­ción ac­ti­va afec­ta al Shell de Win­dows y fue des­cu­bier­to me­dian­te in­te­li­gen­cia ar­ti­fi­cial. Este fallo per­mi­te elu­dir las eti­que­tas que iden­ti­fi­can ar­chi­vos des­car­ga­dos de in­ter­net, des­ac­ti­van­do de forma si­mul­tá­nea múl­ti­ples con­tro­les de pro­tec­ción y per­mi­tien­do que los ar­chi­vos se abran sin mos­trar ad­ver­ten­cias ni res­tric­cio­nes. El se­gun­do cero-día se lo­ca­li­za en el marco de tra­ba­jo de .NET Fra­me­work y está re­la­cio­na­do con una ruta de bús­que­da no con­fia­ble, aun­que re­quie­re ac­ce­so local y cuen­ta con una pro­ba­bi­li­dad de ex­plo­ta­ción menor.

Asi­mis­mo, el pa­que­te de ac­tua­li­za­cio­nes in­clu­ye otros pro­ble­mas sig­ni­fi­ca­ti­vos que re­quie­ren aten­ción prio­ri­ta­ria, como vul­ne­ra­bi­li­da­des de eje­cu­ción re­mo­ta de có­di­go en el panel de lec­tu­ra de Outlook y en Mi­cro­soft SQL Ser­ver, ade­más de fa­llos de ele­va­ción de pri­vi­le­gios en Sha­re­Point y pro­ble­mas en Mi­cro­soft QUIC que afec­tan a múl­ti­ples pro­duc­tos. Por otro lado, se des­ta­ca que el in­cre­men­to ge­ne­ral en el vo­lu­men de vul­ne­ra­bi­li­da­des di­vul­ga­das a lo largo del tiem­po está par­cial­men­te in­fluen­cia­do por el uso de la in­te­li­gen­cia ar­ti­fi­cial, la cual ace­le­ra la de­tec­ción de fa­llos tanto para los fa­bri­can­tes como para los in­ves­ti­ga­do­res.