mayo 13, 2021

Arreglos no programados para defectos críticos de Windows proporcionados a través de canales raros

Ilustración estilizada de un candado.

Microsoft ha lanzado soluciones no planificadas para dos vulnerabilidades críticas que permiten a los atacantes ejecutar código malicioso en computadoras que ejecutan cualquier versión de Windows 10.

A diferencia de la gran mayoría de los parches de Windows, los lanzados el martes se entregaron a través de Microsoft Store. El canal normal para las correcciones de seguridad del sistema operativo es Windows Update. Las advertencias aquí y aquí dicen que los usuarios no tienen que tomar ninguna medida para recibir e instalar automáticamente las correcciones.

«Los clientes afectados se actualizarán automáticamente desde Microsoft Store. Los clientes no necesitan tomar ninguna medida para recibir la actualización «, dijeron ambos asesores.» Alternativamente, los clientes que desean recibir la actualización inmediatamente pueden buscar actualizaciones con la aplicación Microsoft Store; Más información sobre este proceso está disponible aquí. «

Sin embargo, cuando revisé tanto Microsoft Store como Windows Update en mi computadora portátil con Windows 10, no vi ninguna confirmación de que el parche hubiera sido instalado. Normalmente, los usuarios de Windows 10 pueden usar la pestaña Actualización de Windows en la sección Actualización y configuración de seguridad para asegurarse de que se hayan instalado parches. El enlace proporcionado en los avisos no proporcionó claridad. Los representantes de Microsoft no respondieron de inmediato las preguntas de esta publicación.

Ambas vulnerabilidades residen en las bibliotecas de códigos de Windows que administran los códecs utilizados para representar imágenes u otro contenido multimedia. Los atacantes pueden explotar fallas para ejecutar el código de su elección u obtener información almacenada en sistemas vulnerables. Los exploits se pueden distribuir en archivos de imagen especialmente diseñados que dañan la memoria de su computadora. Presumiblemente, las imágenes podrían entregarse en sitios web comprometidos que un objetivo visita o cuando los objetivos abren un archivo malicioso enviado por correo electrónico. Las advertencias del martes no dijeron si los exploits funcionaron solo cuando los objetivos abrieron imágenes no válidas en aplicaciones específicas o en cualquier aplicación.

Microsoft ha acreditado a Abdul-Aziz Hariri con la iniciativa Zero Day de Trend Micro para descubrir y reportar errores de forma privada. Ambos consejos indican que no hay evidencia de que el defecto se explote activamente en la naturaleza. Sin una forma clara de verificar que los parches se hayan instalado, por ahora los usuarios de Windows 10 tendrán que aceptar que Microsoft los instale automáticamente. Esta publicación se actualizará si Microsoft responde las preguntas que he enviado.

Deja una respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *