Microsoft lanzó correcciones para 75 vulnerabilidades durante la ronda de actualización de parches de este mes, incluida una falla de día cero en Internet Explorer.

El error en cuestión, CVE-2019-1429 , existe en la forma en que el motor de secuencias de comandos maneja los objetos en la memoria del navegador, corrompiendo la memoria para que un atacante pueda ejecutar código arbitrario, según Microsoft.

“Un atacante que aprovechara la vulnerabilidad con éxito podría obtener los mismos derechos de usuario que el usuario actual. Si el usuario actual ha iniciado sesión con derechos de usuario administrativos, un atacante que haya explotado con éxito la vulnerabilidad podría tomar el control de un sistema afectado. Un atacante podría instalar programas; ver, cambiar o eliminar datos; o crear nuevas cuentas con derechos de usuario completos “, explicó.

“En un escenario de ataque basado en la web, un atacante podría alojar un sitio web especialmente diseñado que está diseñado para aprovechar la vulnerabilidad a través de Internet Explorer y luego convencer a un usuario para que vea el sitio web. Un atacante también podría incrustar un control ActiveX marcado como ‘seguro para la inicialización’ en una aplicación o documento de Microsoft Office que aloja el motor de representación de IE “.

Un atacante también podría aprovechar los sitios web comprometidos y aquellos que aceptan o alojan contenido o anuncios proporcionados por el usuario, continuó Microsoft.

Otro para ver es CVE-2019-1457 , una vulnerabilidad divulgada públicamente en Excel que podría pasar por alto las características de seguridad.

“Un atacante podría incrustar un control en una hoja de cálculo de Excel que especifica que se debe ejecutar una macro. Lo que se ejecuta en la macro que se desencadenó sin pasar por la configuración de seguridad de Excel sería el verdadero riesgo de esta vulnerabilidad “, explicó Ivanti director de soluciones de seguridad, Chris Goettl.

“Esta vulnerabilidad no se está explotando actualmente en la naturaleza, pero desde que se ha revelado públicamente, los actores de la amenaza han tenido un gran impulso al poder desarrollar un exploit para aprovechar la CVE. Esto pone la vulnerabilidad en mayor riesgo de explotación “.

Microsoft también emitió un aviso  sobre una falla en algunos conjuntos de chips Trusted Platform Modules (TPM) de STMicroelectronics, que pueden requerir una actualización de firmware para el TPM.

En otros lugares, Adobe emitió parches para 45 vulnerabilidades críticas en Acrobat y Reader que deberían priorizarse para las estaciones de trabajo.