Vulnerabilidades y parches de seguridad para Noviembre de 2018

Se acerca el final del mes y toca hacer un recorrido a través de todos los parches y boletines de seguridad importantes para este mes de Noviembre que ya acaba. Si quieres pasar unas navidades sin sobresaltos, te aconsejo que sigas leyendo y estés preparado, porque hablaremos de boletines de seguridad para muchas plataformas.

Quizá este de más volver a puntualizar la importancia de testear los parches en entornos de pre-producción, pero por si acaso, lo hago. Si eres un usuario doméstico solo tendrás un «mosqueo», mientras que en una empresa puede significar miles de € y algún despido.

Parches de los martes de Microsoft (Noviembre 2018)

Qué mejor forma que empezar hablando de los tradicionales «patch tuesday» de Microsoft, los parches mensuales por excelencia. Disculpadme, por cierto, por postearlos tan tarde (salen el segundo martes de cada mes).

Se trata de un total de 64 vulnerabilidades, de las cuales 12 se consideran críticas. Hablamos solo de actualizaciones de seguridad de Windows, las de características (opcionales) van por otro lado.

Leyenda

• CVE: Common Vulnerabilities and Exposures (vulnerabilidades documentadas)
• ADVXXXXXX: Advisory (boletín informativo)

Etiqueta	ID	Descripción del CVE
.NET Core	CVE-2018-8416	Vulnerabilidad que permitiría modificar el núcleo de .NET
Active Directory	CVE-2018-8547	Vulnerabilidad XSS en Active Directory Federation Services
Adobe Flash Player	ADV180025	Actualizaciones de seguridad para Adobe Flash (Nov 2018)
Azure	CVE-2018-8600	Vulnerabilidad Cross-site Scripting en Azure
BitLocker	CVE-2018-8566	Posible bypass de seguridad en Bitlocker
Internet Explorer	CVE-2018-8570	Corrupción de memoria en Internet Explorer
Microsoft Drivers	CVE-2018-8471	Elevación de privilegios en driver Microsoft RemoteFX Virtual GPU miniport
Microsoft Dynamics	CVE-2018-8605	Vulnerabilidad Cross Site Scripting en Microsoft Dynamics 365 (on-premises)
Microsoft Dynamics	CVE-2018-8607	Vulnerabilidad Cross Site Scripting en Microsoft Dynamics 365 (on-premises)
Microsoft Dynamics	CVE-2018-8606	Vulnerabilidad Cross Site Scripting en Microsoft Dynamics 365 (on-premises)
Microsoft Dynamics	CVE-2018-8609	Vulnerabilidad Cross Site Scripting en Microsoft Dynamics 365 (on-premises)
Microsoft Dynamics	CVE-2018-8608	Microsoft Dynamics 365 (on-premises) version 8  Vulnerability
Microsoft Edge	CVE-2018-8564	Posible spoofing en Microsoft Edge
Microsoft Edge	CVE-2018-8545	Vulnerabilidad de filtrado de información en MS Edge
Microsoft Edge	CVE-2018-8567	Elevación de privilegios en MS Edge
Microsoft Exchange Server	CVE-2018-8581	Elevación de privilegios en Microsoft Exchange Server
Microsoft Graphics Component	CVE-2018-8565	Vulnerabilidad de filtrado de información en W32k
Microsoft Graphics Component	CVE-2018-8485	Elevación de privilegios en DirectX
Microsoft Graphics Component	CVE-2018-8562	Elevación de privilegios en Win32k
Microsoft Graphics Component	CVE-2018-8553	Ejecución de código remoto en componentes gráficos de Microsoft
Microsoft Graphics Component	CVE-2018-8561	Elevación de privilegios en DirectX
Microsoft Graphics Component	CVE-2018-8554	Elevación de privilegios en DirectX
Microsoft Graphics Component	CVE-2018-8563	Filtrado de información en DirectX
Microsoft JScript	CVE-2018-8417	Bypass de característica de seguridad en Microsoft JScript
Microsoft Office	CVE-2018-8579	Vulnerabilidad de filtrado de información en Outlook
Microsoft Office	CVE-2018-8577	Vulnerabilidad de ejecución de código remoto en Outlook
Microsoft Office	CVE-2018-8575	Vulnerabilidad de ejecución de código remoto en  Microsoft Project
Microsoft Office	CVE-2018-8576	Vulnerabilidad de ejecución de código remoto en Outlook
Microsoft Office	CVE-2018-8522	Vulnerabilidad de ejecución de código remoto en Outlook
Microsoft Office	CVE-2018-8524	Vulnerabilidad de ejecución de código remoto en Outlook
Microsoft Office	CVE-2018-8539	Vulnerabilidad de ejecución de código remoto en Word
Microsoft Office	CVE-2018-8558	Vulnerabilidad de ejecución de código remoto en Outlook
Microsoft Office	CVE-2018-8573	Vulnerabilidad de ejecución de código remoto en Word
Microsoft Office	CVE-2018-8574	Vulnerabilidad de ejecución de código remoto en Excel
Microsoft Office	CVE-2018-8582	Vulnerabilidad de ejecución de código remoto en Outlook
Microsoft Office SharePoint	CVE-2018-8578	Vulnerabilidad de filtrado de información en Sharepoint
Microsoft Office SharePoint	CVE-2018-8572	Elevación de privilegios en Microsoft SharePoint
Microsoft Office SharePoint	CVE-2018-8568	Elevación de privilegios en Microsoft SharePoint
Microsoft PowerShell	CVE-2018-8256	Ejecución de código remoto en Microsoft Powershell
Microsoft PowerShell	CVE-2018-8415	Vulnerabilidad por modificación en Microsoft Powershell
Microsoft RPC	CVE-2018-8407	Vulnerabilidad de filtrado de información en MSRPC
Microsoft Scripting Engine	CVE-2018-8557	Corrupción de memoria en el motor de scripting Chackra
Microsoft Scripting Engine	CVE-2018-8552	Corrupción de memoria en motor de scripting de Windows
Microsoft Scripting Engine	CVE-2018-8551	Corrupción de memoria en el motor de scripting Chackra
Microsoft Scripting Engine	CVE-2018-8556	Corrupción de memoria en el motor de scripting Chackra
Microsoft Scripting Engine	CVE-2018-8555	Corrupción de memoria en el motor de scripting Chackra
Microsoft Scripting Engine	CVE-2018-8541	Corrupción de memoria en el motor de scripting Chackra
Microsoft Scripting Engine	CVE-2018-8542	Corrupción de memoria en el motor de scripting Chackra
Microsoft Scripting Engine	CVE-2018-8588	Corrupción de memoria en el motor de scripting Chackra
Microsoft Scripting Engine	CVE-2018-8544	Posible ejecución de código remoto en motor VBScript de Windows
Microsoft Scripting Engine	CVE-2018-8543	Corrupción de memoria en el motor de scripting Chackra
Microsoft Windows	CVE-2018-8592	Elevación de privilegios en Windows
Microsoft Windows	ADV180028	Guía para configurar cifrado por software con Bitlocker
Microsoft Windows	CVE-2018-8476	Ejecución remota de código en servicios TFTP de Windows
Microsoft Windows	CVE-2018-8584	Elevación de privilegios en Windows ALPC
Microsoft Windows	CVE-2018-8550	Elevación de privilegios en Windows COM
Microsoft Windows	CVE-2018-8549	Bypass de características de seguridad en Windows
Microsoft Windows Search Component	CVE-2018-8450	Vulnerabilidad de ejecución de código remoto en Windows
Servicing Stack Updates	ADV990001	Últimas actualizaciones de servicio para Windows
Skype for Business and Microsoft Lync	CVE-2018-8546	Denegación de servicio en Skype for Business
Team Foundation Server	CVE-2018-8602	Ataque Cross-site Scripting en Team Foundation Server
Windows Audio Service	CVE-2018-8454	Posible fuga de información en servicio de Audio de Windows
Windows Kernel	CVE-2018-8589	Elevación de privilegios en Windows Win32k
Windows Kernel	CVE-2018-8408	Vulnerabilidad de filtrado de información en el kernel de Windows

Recordad que, como siempre, los paquetes individuales de Windows Udpate podéis buscarlos en el Catálogo de Windows Update.

Actualizaciones de Adobe, Google Chrome y otros

Finalmente y no menos importante, hablemos de las actualizaciones de seguridad que han visto la luz este mes para otro rango de programas diferentes a los de Microsoft, donde encontramos varios productos de Adobe (Reader, Flash, Photoshop, Acrobat), productos de Apple (iCloud para Windows / iTunes para Windows), también Mozilla (Firefox, Thunderbird) y finalmente Google Chrome.

Especial atención merece la catalogada como CVE-2018-15979 por su gravedad. Afecta a Adobe Acrobat y Adobe Reader. Existe un PoC (prueba de concepto) disponible y podría provocar que un usuario envíe su hash de contraseña NTLM a un recurso externo malintencionado.

Las buenas noticias son que el atacante tendría que convencer al usuario para que abra un enlace o recurso malicioso (algo que suele pasar no obstante) y que, como ocurre con el resto de vulnerabilidades de tratadas aquí, no se han observado exploits de momento.

Identifier	Producto	Versión afectada	Date Released by Vendor	Vulnerabilidad
CVE-2018-15981	Adobe Flash	31.0.0.148 y anteriores	11/20/2018	Ejecución de código, filtrado de información
CVE-2018-15980	Adobe Photoshop CC	19.1.6 y anteriores	11/13/2018	Filtrado de información
CVE-2018-15979	Adobe Acrobat y Reader	2019.008.20080 y anteriores Classic 2017 2017.011.30105 y anteriores Classic 2015 2015.006.30456 y anteriores	11/13/2018	Filtrado de información
Multiple CVE’s	iCloud para Windows	Anterior a 7.8	10/30/2018	Ejecución de código, Denegación de servicio, Cross Site Scripting
Multiple CVE’s	iTunes para Windows	Anterior a 12.9.1	10/30/2018	Ejecución de código, Denegación de servicio, Cross Site Scripting
Multiple CVE’s	Google Chrome	Anterior a 70.0.3538.110	11/19/2018	Denegación de servicio, filtrado de información
Multiple CVE’s	Mozilla Firefox	Anterior a 63/ESR 60.3	10/23/2018	Denegación de servicio, escalado de privilegios, Filtrado de información
Multiple CVE’s	Mozilla Thunderbird	Anterior a ESR 60.3	10/31/2018	Denegación de servicio, fallo de seguridad

Vulnerabilidad en Kernel de Linux

Se han publicado a finales de este mes dos vulnerabilidades que afectan al kernel de Linux. El descubridor, Wanpeng Li, demuestra como un atacante local podría explotar errores de tipo «puntero nulo» para lanzar condiciones DoS.

Esta vulnerabilidad en Linux, que recibe el ID CVE-2018-19406, afecta a la función kvm_pv_send_ipi del kernel de Linux, algo que queda definido en el archivo arch/x86/kvm/lapic.c. Se podría lanzar una llamada especialmente diseñada para provocar un estadado en el que el mapa apic no se inicie correctamente.

Las versiones afectadas incluyen hasta la 4.19.2.

Fuentes: Microsoft, Bleeping Computer, ultimatewindowssecurity