Se han notificado vulnerabilidades críticas que afectan a los productos de Microsoft. La empresa ha publicado actualizaciones para un total de 63 problemas en su boletín de noviembre de 2023, incluidos tres que los actores de amenazas están explotando activamente y dos que se habían revelado anteriormente pero que aún no se habían explotado.

Entre las vulnerabilidades más importantes notificadas y parcheadas por Microsoft, podemos detallar:

• CVE-2023-36025 clasificada como crítica con una puntuación CVSSv3 de 8,8. Esta vulnerabilidad afecta específicamente al componente SmartScreen de Windows. SmartScreen es un componente integrado de Windows que intenta detectar y bloquear sitios web y archivos maliciosos. La vulnerabilidad permite que el contenido malicioso eluda la función de seguridad SmartScreen. Según Microsoft, los atacantes podrían aprovecharla engañando a un usuario de Windows para que haga clic en un enlace malicioso a un acceso directo a un archivo. El atacante podría aprovechar este fallo creando un archivo malicioso de acceso directo a Internet (.URL) y convenciendo a un objetivo para que haga clic en el archivo o en un hipervínculo que apunte a un archivo .URL. Una explotación exitosa tendría como resultado la elusión de los controles de seguridad de Windows Defender SmartScreen.
• CVE-2023-36439 clasificado como crítico con una puntuación CVSSv3 de 8,0. Esta vulnerabilidad de Ejecución Remota de Código (RCE) permitiría a los atacantes instalar software malicioso en un servidor de correo Microsoft Exchange. Técnicamente, esta vulnerabilidad requiere que el atacante esté autenticado en la red local del objetivo, pero también se observa que un par de credenciales falsificadas de Exchange proporcionarían ese mismo acceso. En este caso, un atacante autenticado en un servidor Exchange vulnerable con un usuario válido podría explotar esta vulnerabilidad para obtener RCE como NT AUTHORITY\SYSTEM en el backend del buzón del servidor.

• Se informa de dos vulnerabilidades adicionales en Microsoft Exchange: CVE-2023-36039, CVE-2023-36035 y CVE-2023-36050. Todas ellas son de gravedad importante, con una puntuación CVSSv3 de 7,0 y son del tipo spoofing. Pueden explotarse junto con la vulnerabilidad CVE-2023-36439.

Los informes indican que la vulnerabilidad RCE que afecta al servidor de correo Microsoft Exchange está siendo ampliamente explotada. Recomendamos actuar con rapidez y aplicar cuanto antes los parches de seguridad publicados.