Microsoft corrige dos docenas de vulnerabilidades de ejecución remota de código (RCE) en Office

Mi­cro­soft ha lan­za­do co­rrec­cio­nes para más de trein­ta nue­vas vul­ne­ra­bi­li­da­des, cen­trán­do­se prin­ci­pal­men­te en fa­llos de se­gu­ri­dad den­tro de su pa­que­te Of­fi­ce. Gran parte de estas so­lu­cio­nes co­rres­pon­den a vein­ti­cua­tro vul­ne­ra­bi­li­da­des de eje­cu­ción re­mo­ta de có­di­go con­si­de­ra­das de alta gra­ve­dad, las cua­les in­clu­yen media do­ce­na de fa­llos sus­cep­ti­bles de ser ex­plo­ta­dos a tra­vés del panel de vista pre­via.

Para que los ata­ques ten­gan éxito, en la ma­yo­ría de las si­tua­cio­nes el agre­sor ne­ce­si­ta en­viar un ar­chi­vo ma­ni­pu­la­do con fines ma­li­cio­sos, como un do­cu­men­to co­rrup­to, y per­sua­dir a la víc­ti­ma para que lo abra. Estos pro­ble­mas de eje­cu­ción re­mo­ta de có­di­go se deben prin­ci­pal­men­te a des­bor­da­mien­tos de búfer, ade­más de otros erro­res de tipo "off-by-one", uso de me­mo­ria li­be­ra­da tras su uso, salto de rutas y trun­ca­mien­to nu­mé­ri­co, sien­do Word el pro­gra­ma que con­cen­tró la mayor can­ti­dad de ac­tua­li­za­cio­nes en com­pa­ra­ción con Excel, Outlook, Po­wer­Point y Sha­re­Point.

Junto a los fa­llos de eje­cu­ción re­mo­ta de có­di­go, la com­pa­ñía so­lu­cio­nó múl­ti­ples pro­ble­mas de di­vul­ga­ción de in­for­ma­ción y un fallo de elu­sión de se­gu­ri­dad en el pa­que­te Of­fi­ce, ade­más de co­rre­gir de­fec­tos en ASP.NET Core, Iden­tity Web y la bi­blio­te­ca de au­ten­ti­ca­ción para Node.js. La em­pre­sa in­di­có que nin­guno de los pro­ble­mas so­lu­cio­na­dos ha sido apro­ve­cha­do ac­ti­va­men­te como vul­ne­ra­bi­li­dad de día cero, y tam­bién ac­tua­li­zó avi­sos an­te­rio­res para in­for­mar sobre el lan­za­mien­to de ac­tua­li­za­cio­nes des­ti­na­das a ver­sio­nes de Of­fi­ce para Mac.