Microsoft ha corregido 79 vulnerabilidades en su edición del martes de parches de septiembre de 2024, siete de las cuales se consideran críticas, 71 importantes y una moderada. A continuación se indica el número de fallos en cada categoría de vulnerabilidad:
30 vulnerabilidades de elevación de privilegios
4 Vulnerabilidades de elusión de funciones de seguridad
23 Vulnerabilidades de ejecución remota de código
11 Vulnerabilidades de divulgación de información
8 Vulnerabilidades de denegación de servicio
3 Vulnerabilidades de suplantación de identidad
Entre ellas hay 4 vulnerabilidades de día cero que han sido explotadas: CVE-2024-38217, CVE-2024-38226, CVE-2024-38014 y CVE-2024-43491, siendo esta última la más crítica. CVE-2024-43491 será cubierta en este boletín.
Análisis
CVE-2024-43491 – CVSS 9.8:
Microsoft está al tanto de una vulnerabilidad en Servicing Stack que ha revertido las correcciones para algunas vulnerabilidades que afectan a los componentes opcionales en Windows 10, versión 1507 (versión inicial publicada en julio de 2015). Esto significa que un atacante podría explotar estas vulnerabilidades mitigadas previamente en sistemas Windows 10, versión 1507 (Windows 10 Enterprise 2015 LTSB y Windows 10 IoT Enterprise 2015 LTSB) que hayan instalado la actualización de seguridad de Windows publicada el 12 de marzo de 2024 (KB5035858 [compilación del SO 10240.20526]) u otras actualizaciones publicadas hasta agosto de 2024. Todas las versiones posteriores de Windows 10 no se ven afectadas por esta vulnerabilidad. Esta vulnerabilidad de Servicing Stack se soluciona instalando la actualización de Servicing Stack de septiembre de 2024 (SSU KB5043936) Y la actualización de seguridad de Windows de septiembre de 2024 (KB5043083), en ese orden.
Nota: Windows 10, versión 1507, alcanzó el fin del soporte (EOS) el 9 de mayo de 2017 para dispositivos con las ediciones Pro, Home, Enterprise, Education y Enterprise IoT. Solo las ediciones Windows 10 Enterprise 2015 LTSB y Windows 10 IoT Enterprise 2015 LTSB siguen recibiendo soporte.
Recomendaciones
Estas vulnerabilidades afectan a diferentes versiones de Windows, Windows Server, Microsoft Office, Dynamics 365, Azure y otros. Para cada vulnerabilidad, consulte el enlace de la sección «Referencias» y vea los productos afectados.
Referencias
https://msrc.microsoft.com/update-guide/releaseNote/2024-Sep
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-43491
https://nvd.nist.gov/vuln/detail/CVE-2024-43491