Header Ads Widget

Ticker

6/recent/ticker-posts

Un gran pero manejable día de parches de febrero trae actualizaciones críticas del navegador

Las 99 vulnerabilidades reportadas por Microsoft para el martes de parches de febrero son manejables, incluso con parches críticos del navegador que tratar.


Con 99 vulnerabilidades y parches reportados para los navegadores de Microsoft, Office y Windows, la actualización del martes de parches de este mes no es una carga administrativa tan grande como podría pensar inicialmente. Hemos calificado las actualizaciones del navegador como una actualización de "Parche ahora" debido a problemas con el motor Chakra, pero tanto Office como Windows se pueden programar de acuerdo con una cadencia de parche regular. Desafortunadamente, tenemos otra actualización de Adobe Flash para implementar, pero no hay actualizaciones de desarrollo críticas para febrero.

Puede encontrar más información en nuestra  útil infografía aquí .

Problemas conocidos
Cada mes, Microsoft incluye una lista de problemas conocidos relacionados con el sistema operativo y las plataformas incluidas en este ciclo de actualización. He hecho referencia a algunos problemas clave relacionados con las últimas versiones de Microsoft, que incluyen:

Los volúmenes compartidos de clúster de Microsoft (CSV) aún pueden generar el mensaje de error "" STATUS_BAD_IMPERSONATION_LEVEL (0xC00000A5) ". Microsoft todavía está trabajando en una solución. Hasta que se publique una solución, puede probar la operación como administrador o intentar "poseer" los directorios en cuestión antes de la operación.
Después de instalar algunos paquetes de idiomas asiáticos, es posible que aún (consulte KB4493509) reciba el error "0x800f0982 - PSFX_E_MATCHING_COMPONENT_NOT_FOUND".
Microsoft ha estado trabajando en una solución para estos dos problemas durante un tiempo; no esperamos una resolución en el corto plazo.

Revisiones importantes
Este mes, dos CVE se han sometido a un importante incremento de revisión:

CVE-2019-1332 : Se revisó la información de CVE para anunciar la disponibilidad de Microsoft SQL Server 2016 para sistemas basados ​​en x64 Service Pack 2 (CU) y Microsoft SQL Server 2016 para sistemas basados ​​en x64 Service Pack 2 (GDR).
CVE-2019-8267 : Microsoft revisó esto para incluir Internet Explorer 11 instalado en todas las ediciones compatibles de Windows 10 versión 1809, Windows Server 2019, Windows 10 versión 1903 y Windows 10 versión 1909 porque están afectados por esta vulnerabilidad. Este cambio puede afectar el ciclo de actualización de su servidor
Cada mes, dividimos el ciclo de actualización en familias de productos (según la definición de Microsoft) con las siguientes agrupaciones básicas:

  • Navegadores (Microsoft IE y Edge)
  • Microsoft Windows (tanto de escritorio como de servidor)
  • Microsoft Office (incluidas aplicaciones web y Exchange)
  • Plataformas de desarrollo de Microsoft ( ASP.NET Core, .NET Core y Chakra Core)
  • Nube y dispositivos
  • Adobe Flash Player (se descontinuará)
Navegadores
Microsoft ha lanzado nueve actualizaciones para ambos navegadores (Internet Explorer y Edge) este mes, con cinco calificadas como críticas, dos como moderadas y las dos restantes como importantes. Las mayores preocupaciones son las cuatro actualizaciones críticas del motor de scripting central de Chakra que podrían conducir a la ejecución remota de código.


Microsoft advierte que estas cuatro vulnerabilidades críticas podrían conducir a un escenario en el que "un atacante podría instalar programas; ver, cambiar o eliminar datos; o crear nuevas cuentas con derechos de usuario completos".

Agregue esta actualización a su programa "Parchear ahora".

Microsoft Windows
Bien, esto puede parecer muchas actualizaciones: Microsoft ha lanzado 79 parches para el ecosistema de servidor y escritorio de Windows. Cinco de estas actualizaciones están calificadas como críticas y el resto son calificadas como importantes por Microsoft. Suena (y se siente) como una gran cantidad de parches, pero aparte de las actualizaciones críticas de la plataforma de Escritorio remoto (RDP), la carga administrativa no es tan grande.

Este ciclo de parches se parece más a un ciclo administrativo que a aquel que aborda vulnerabilidades críticas o explotadas. Es tiempo de "limpieza" para Microsoft después de las vacaciones de Navidad y un ciclo de parches de enero muy ligero.

Agregue estas actualizaciones a su programa de lanzamiento estándar. 

Microsoft Office
Microsoft ha lanzado seis actualizaciones para Microsoft Office, todas calificadas como importantes. El más grave de este mes afecta a Microsoft Excel con un escenario de ejecución remota de código potencial (pero difícil de explotar) que involucra cómo Excel maneja los objetos en la memoria. Todas las vulnerabilidades reportadas de este mes requieren acceso al sistema de destino y requieren que los usuarios tomen acciones explícitas en los sistemas vulnerables. Este mes hay una actualización del servidor de Microsoft SharePoint que requerirá reiniciar todos los servidores afectados.

Agregue estos parches de Office a sus actualizaciones programadas regularmente

Plataformas de desarrollo de Microsoft
Este mes, Microsoft no ha publicado ninguna actualización para las muchas variaciones de .NET, pero tenemos una actualización de SQL Server que ha sido calificada como importante. CVE-2020-0618 es relativamente difícil de explotar, ya que requiere acceso a la instancia del servidor SQL y requiere páginas especialmente diseñadas enviadas a los servicios de informes de SQL Server.

Agregue esta actualización a sus cadencias de lanzamiento de parches programadas regularmente.

Nube y dispositivos
Hemos asignado este espacio a la nube reciente (Azure) y a las actualizaciones de dispositivos de Microsoft. Este mes, Microsoft no ha lanzado ningún parche relacionado con Azure, pero ha publicado un parche de Microsoft Surface (nivel de dispositivo) ( CVE-2020-0702 ) que ha sido calificado como importante (y difícil de explotar).

Agregue esta actualización relacionada con el dispositivo a su ciclo de parches regular.

Adobe Flash Player
Pensé que habíamos terminado con las actualizaciones críticas de Adobe Flash Player de Microsoft. Incluso le di instrucciones a nuestro equipo de desarrollo para que eliminara esta sección de nuestros boletines internos. Bueno, las actualizaciones (de Flash Player) están de vuelta, con fuerza.

Este mes, vemos otra falla de ActiveX en Flash Player ( ADV20003 / CVE-2020-3757 ) que podría llevar a la ejecución de código arbitrario en la computadora comprometida. Según el boletín de seguridad de Adobe, “La vulnerabilidad existe debido a un error de confusión de tipo al procesar contenido Flash. Un atacante remoto puede crear un archivo .SWF especialmente diseñado, engañar a la víctima para que lo reproduzca, desencadenar un error de confusión de tipos y ejecutar código arbitrario en el sistema de destino. La explotación exitosa de esta vulnerabilidad puede resultar en un compromiso total del sistema de destino ".

Microsoft ha documentado una posible solución alternativa relacionada con el control de Flash ActiveX que incluye realizar los siguientes cambios en el registro:

Editor del registro de Windows, versión 5.00

[HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Internet Explorer \ Compatibilidad con ActiveX \ {D27CDB6E-AE6D-11CF-96B8-444553540000}]

"Banderas de compatibilidad" = dword: 00000400

[HKEY_LOCAL_MACHINE \ SOFTWARE \ Wow6432Node \ Microsoft \ Internet Explorer \ Compatibilidad con ActiveX \ {D27CDB6E-AE6D-11CF-96B8-444553540000}]

"Banderas de compatibilidad" = dword: 00000400

Agregue esta actualización a su programa de lanzamiento "Patch Now".


Publicar un comentario

0 Comentarios