Microsoft corrige dos docenas de fallas de ejecución remota de código en Office

Los parches llegan días después de un Patch Tuesday récord y abarcan más de 30 vulnerabilidades, en su mayoría de Office. Microsoft dice que ninguna se explotó como día cero. (Fuente: SecurityWeek)

Poco después de su Patch Tuesday récord, Microsoft anunció el jueves 15 de octubre parches para más de 30 vulnerabilidades nuevas, según SecurityWeek. La mayoría corrige fallas en la suite Office, y dos docenas son errores de ejecución remota de código (RCE) de severidad alta. Entre ellos hay media docena que podrían explotarse a través del Panel de vista previa.

Qué se corrigió

• Ejecución remota de código: en la mayoría de los casos, el atacante debe enviar un archivo especialmente armado, como un documento malicioso, y convencer a la víctima de que lo abra. Los desbordamientos de búfer son la causa de la mayoría, junto con errores de desfase de uno, uso después de liberación, recorrido de rutas y truncamiento numérico.
• Productos: Word recibió la mayoría de los parches, y hubo solo unos pocos para Excel, Outlook, PowerPoint y SharePoint.
• Otros fallos de Office: varios errores de divulgación de información y una elusión de seguridad.
• Fuera de Office: un error de denegación de servicio en ASP.NET Core, una elevación de privilegios en Identity Web y una divulgación de información en la biblioteca de autenticación (MSAL) para Node.js.

Sin explotación activa

Según Microsoft, ninguno de los problemas resueltos se explotó como día cero. La compañía también actualizó decenas de avisos publicados originalmente el 13 de octubre, para informar que ya hay actualizaciones de seguridad para Office LTSC para Mac 2021 y 2024 y para Office 365 para Mac.

Dado que muchos de estos errores se aprovechan con un archivo malicioso, conviene instalar las actualizaciones de Office y desconfiar de los documentos que llegan sin que se los espere.

Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.