Microsoft ha lanzado actualizaciones para 15 productos, como parte de sus parches de seguridad mensuales, conocidos como Patch Tuesday, que cierran un total de 80 vulnerabilidades.
Entre ellas se incluyen dos vulnerabilidades de día cero que ya están siendo explotadas por los ciberdelincuentes con fines de ataque. Los productos afectados son Windows, Internet Explorer, Microsoft Edge (basado en EdgeHTML), ChakraCore, Office, Office Services, Web Apps, Flash Player, Lync, Visual Studio, Exchange Server,.NET Framework, Yammer,.NET Core, ASP.NET, Team Foundation Server y Project Rome.
Las vulnerabilidades de día cero son CVE-2019-1214 y CVE-2019-1215, que permiten ampliar los derechos de los usuarios. Normalmente son explotados por el malware para ejecutar código malicioso con privilegios de administrador en hosts (previamente) infectados. El primer fallo, CVE-2019-1214, es un EoP en el controlador de Windows Common Log File System (CLFS). El segundo, CVE-2019-1215, afecta al servicio ws2ifsl.sys (Winsock). Como de costumbre, Microsoft no reveló ningún detalle sobre cómo se explotaron los dos errores. La primera de las dos vulnerabilidades de día cero fue descubierta por el equipo de Qihoo 360 Vulcan.
En total, Patch-Tuesday de este mes, es tan extenso como el promedio de todas las versiones de los últimos meses, que normalmente corrigen más de 70 errores. Al igual que en los últimos meses, Microsoft ha corregido las vulnerabilidades en el protocolo de escritorio remoto. Sin embargo, este mes hubo «sólo» dos con CVE-2019-1290 y CVE-2019-1291. Ambos fueron descubiertos por la propia Microsoft y, a diferencia de las vulnerabilidades de BlueKeep y DejaBlue reveladas en mayo y agosto, Microsoft no dijo si estas dos vulnerabilidades podían ser utilizadas indebidamente para crear malware/explotaciones habilitadas para gusanos.
Puede encontrar información más detallada sobre las actualizaciones de hoy del parche del martes en el Portal oficial de la Guía de actualizaciones de seguridad de Microsoft.