Microsoft ha dejado a los administradores de sistemas con un febrero ocupado después de lanzar actualizaciones para 73 vulnerabilidades, incluidas dos fallas de día cero actualmente bajo explotación activa.
La ronda de actualización del martes de parches de febrero de ayer vio correcciones para cinco vulnerabilidades críticas y 30 fallas de ejecución remota de código (RCE). Sin embargo, ambos días cero fueron errores de omisión de funciones de seguridad.
El primero, CVE-2024-21412, está relacionado con los archivos de acceso directo a Internet. Con una puntuación CVSS de 8,1, sólo se califica como “importante”, ya que requiere la interacción del usuario para tener éxito, según Mike Walters, presidente de Action1.
El segundo día cero (CVE-2024-21351) implica omitir la función de seguridad SmartScreen en Microsoft Defender. Se considera que tiene un impacto moderado, con una puntuación CVSS de 7,6. Aunque se está explotando en la naturaleza, actualmente no hay una prueba de concepto disponible, según Walters.
También en el radar este mes deberían haber dos vulnerabilidades críticas con puntuaciones CVSS de 9,8.
CVE-2024-21410 es un error de elevación de privilegios que permite a los actores de amenazas realizar operaciones en Microsoft Exchange Server como si fueran la víctima.
Mientras tanto, CVE-2024-21413 es una vulnerabilidad RCE crítica en Office que permite a un atacante hacer que un archivo se abra en modo de edición como si el usuario hubiera aceptado confiar en el archivo. No se requiere interacción del usuario para la explotación, que se produce a través del Panel de vista previa de Outlook.