Microsoft parchó, el martes último, dos vulnerabilidades de día cero que se explotaban activamente en la naturaleza como parte de su parche de septiembre.
La primera es CVE-2023-36761: una vulnerabilidad de divulgación de información de Microsoft Word que se ha divulgado públicamente. Microsoft parchó una vulnerabilidad similar en Outlook en marzo.
El segundo error de día cero solucionado este mes es CVE-2023-36802; una vulnerabilidad de elevación de privilegios en Microsoft Streaming Service Proxy. Esto podría otorgar privilegios del sistema a un atacante mediante la explotación de un controlador del kernel, dijo Barnett.
El ingeniero de ciberseguridad de Immersive Labs, Nikolas Cemerkic, explicó que el servicio proxy es el sucesor de Office 365 Video, permitiendo la reproducción a escala en cualquier dispositivo de la red.
«Se ha descubierto una vulnerabilidad dentro de este servicio que permitiría a un atacante que haya logrado comprometer el sistema objetivo obtener privilegios de administrador en esa misma máquina», añadió.
«Aunque un atacante tendría que estar en la máquina con privilegios de bajo nivel, no se requeriría ninguna interacción del usuario para que el atacante elevara sus privilegios».
En otros lugares, este mes hay correcciones para cuatro vulnerabilidades críticas de ejecución remota de código (RCE).
Tres de estos afectan a Visual Studio: CVE-2023-36793, CVE-2023-36796 y CVE-2023-36792.
Un cuarto error crítico, CVE-2023-38148, se encuentra en la Conexión compartida a Internet (ICS) de Windows, pero requiere que un atacante esté dentro de la misma red física o lógica compartida que el sistema objetivo.