Microsoft ha anunciado la resolución de un total de 61 fallos de seguridad en su software, como parte de su rutina de actualizaciones de parches, revelados durante la jornada de actualización del martes de mayo de 2024. Entre estos, se destacan dos "días cero" que han sido activamente explotados en entornos cibernéticos.
Según el informe de la compañía, de los 61 fallos abordados, uno se cataloga como Crítico, 59 como Importantes y uno como Moderado. Estas actualizaciones se suman a las 30 vulnerabilidades previamente resueltas en el navegador Edge basado en Chromium el mes pasado, incluyendo dos días cero recién identificados (CVE-2024-4671 y CVE-2024-4761), los cuales han sido señalados como aprovechados en ataques.
Las dos vulnerabilidades que han sido objeto de explotación activa en la naturaleza son las siguientes:
CVE-2024-30040 (CVSS Score: 8.8): Una vulnerabilidad de elusión de funciones de seguridad en la plataforma Windows MSHTML.
CVE-2024-30051 (CVSS Score: 7.8): Una vulnerabilidad de elevación de privilegios en la biblioteca central de Windows Desktop Window Manager (DWM).
"Un atacante no autenticado que logre explotar con éxito esta vulnerabilidad podría lograr la ejecución de código, persuadiendo a un usuario para que abra un documento malicioso, momento en el cual el atacante podría ejecutar código arbitrario en el contexto del usuario", menciona el comunicado de Microsoft respecto a CVE-2024-30040.
Sin embargo, para que la explotación sea exitosa, el atacante debe persuadir al usuario a cargar un archivo especialmente diseñado en un sistema vulnerable, distribuido a través de correo electrónico o mensaje instantáneo, y engañarlo para que lo manipule.
Cabe destacar que la víctima no necesita hacer clic o abrir el archivo malicioso para activar la infección. Por otro lado, CVE-2024-30051 podría permitir a un actor de amenazas obtener privilegios de SISTEMA. Tres grupos de investigadores de Kaspersky, DBAPPSecurity WeBin Lab, Google Threat Analysis Group y Mandiant han sido atribuidos al descubrimiento y notificación de la falla, lo que sugiere una probable explotación generalizada.
Comments