Microsoft ha publicado este mes la cifra récord de 132 nuevas correcciones de vulnerabilidades y ha detallado seis fallos de día cero, entre ellos uno que se está explotando activamente en ataques contra miembros de la OTAN.
De la enorme cantidad, nueve CVE se calificaron de «críticas», 37 eran fallos de ejecución remota de código (RCE) y 33 eran fallos de elevación de privilegios.
Los seis fallos de día cero están siendo explotados activamente, y uno de ellos se ha hecho público. Se trata de CVE-2023-36884, una vulnerabilidad RCE que afecta a Office y Windows HTML. Microsoft advirtió que se está utilizando para atacar a las organizaciones que asisten a la cumbre de la OTAN esta semana con ransomware y ataques de espionaje utilizando la puerta trasera RomCom.
Este mes no hay parche para la vulnerabilidad, pero Microsoft publicó mitigaciones y prometió una solución en breve.
Otra prioridad para las organizaciones debería ser CVE-2023-35311: un fallo de elusión de funciones de seguridad de Microsoft Outlook que utiliza un vector de ataque de red con baja complejidad de ataque que requiere la interacción del usuario pero no privilegios elevados.
«Es importante señalar que esta vulnerabilidad permite específicamente eludir las funciones de seguridad de Microsoft Outlook y no permite la ejecución remota de código ni la elevación de privilegios», explicó el cofundador de Action1, Mike Walters.