Se acerca el “Martes de Parches”, y esta vez estamos de aniversario pues se cumplen 10 años desde que Microsoft comenzó a publicar regularmente su boletín de actualizaciones.
Últimamente Microsoft ha tenido algunos problemas con los parches, algunas actualizaciones no funcionaron correctamente en agosto, y otras que trabajaban “demasiado bien” en septiembre, descargándose a sí mismas una y otra vez.
A pesar de las incidencias, sin embargo, las cosas no han ido tan malo, por lo que titulares como “A Decade of Botched Updates and Broken PCs ” son innecesariamente fatalistas.
Así que, por favor, no te desanimes este mes, esta actualización es, casi seguro, un arreglo final para el Internet Explorer (IE), que soluciona la vulnerabilidad de día cero que fue noticia a mitad de septiembre.
Esa vulnerabilidad, CVE-2013-3893, está siendo explotada activamente por los ciberdelincuentes y Metasploit por igual, así que es cualquiera lo puede adquirir, estudiar, modificar y utilizar.
Los exploits existentes del CVE-2013-3893 no funcionan en todas las versiones de IE, pero funcionan incluso cuando DEP (Data Execution Prevention) y ASLR (Address espacio de diseño de asignación al azar) están en juego, por lo que debes asumir que un atacante muy testarudo podría encontrar una manera de entrar en todas las versiones de Windows que ejecuten cualquier versión de IE, el IE 6 en Windows XP a IE 11 en 8.1.
Curiosamente, siete de los ocho boletines de este mes tienen que ver con ECR, o errores de código remoto.
Ahí es donde un intruso te envia algo que no se supone pueda provocar una descarga silenciosa -como un documento o una página web- y te infecta con malware, sin ni siquiera aparezca un de diálogo “¿estás seguro”, o incluso si lo único que hacemos es mirar.
Cuatro de esas RCE están calificadas como de Críticas, o lo que es decir “si no parcheas el agujero, los ladrones tratarán de navegar a través de él y casi seguro que tengan éxito.”
Los otros tres son “simplemente” importantes, porque “sólo” afectan a Office y a SharePoint.
El octavo Boletín trata un agujero de divulgación de información en Silverlight.
Los últimos puntos para planificar el martes de parches son:
– Reinicio necesario para la gran actualización de Internet Explorer.
– Las instalaciones Server Core no se ven afectadas, lo que demuestra la conveniencia de probar el sabor minimalista de Windows cada vez que pueda.
– Los usuarios de Mac tienen algunos parches en esta ocasión, con una actualización de Office 2011 para Mac para cerrar un agujero de RCE.
– Windows 8.1 recibe una actualización para el IE 11
¡Buena suerte con el décimo aniversario del martes de parches!
Para manteneros al día de las últimas amenazas haceros fans de nuestra página de Facebook o síguenos en Twitter para intercambiar experiencias en torno al mundo de la seguridad. Si deseas recibir nuestro boletín semanal de seguridad en tu correo electrónico, suscríbete en la siguiente aplicación:
Dejar un comentario