Microsoft abordó más de 90 defectos de seguridad que afectan a los productos en el ecosistema de Windows y advirtió que una de las vulnerabilidades ya estaba siendo explotada como día cero.

La vulnerabilidad explotada, documentada como CVE-2022-41033, afecta el servicio del sistema de eventos COM+ de Windows, y ha sido explotada en ataques de elevación de privilegios, lo que sugiere que se usó como parte de una cadena de explotación.

La nueva advertencia llega a menos de un mes después de que el equipo de respuesta de seguridad de Microsoft se apresurara a emitir mitigaciones para fallas de Exchange Server atacadas por un actor de amenazas a nivel estatal.

Esas dos vulnerabilidades de Exchange Server, CVE-2022-41040 y CVE-2022-21082, siguen sin parchear.

La existencia de las vulnerabilidades de Exchange Server se hizo pública a fines de septiembre, cuando la empresa vietnamita de ciberseguridad GTSC informó haber visto dos fallas de Exchange previamente desconocidas explotadas en agosto contra infraestructura crítica.

Microsoft realizó su propio análisis y determinó que un solo actor de amenazas ha explotado los día cero en ataques altamente dirigidos a al menos 10 organizaciones.

Las fallas sin parchar están documentadas como un problema de falsificación de solicitud del lado del servidor (SSRF), que se puede explotar para escalar privilegios (CVE-2022-41040) y una falla de ejecución remota de código cuando el atacante puede acceder a PowerShell (CVE-2022-41082).

Como parte del lote de actualizaciones de Patch Tuesday de octubre, se documentó 85 defectos de seguridad en Microsoft Windows y los componentes del sistema operativo y una docena de fallas solucionadas en el navegador Microsoft Edge (basado en Chromium).

Según los rastreadores de vulnerabilidades de ZDI, 15 de las 85 vulnerabilidades se clasifican como críticas, la clasificación de gravedad más alta de Microsoft. Los problemas de nivel crítico afectan a Active Directory, Azure, Microsoft Office, SharePoint, Hyper-V y el protocolo de tunelización punto a punto de Windows.

Fuente:https://blog.nivel4.com/noticias/microsoft-advierte-sobre-un-nuevo-dia-cero