112 CVEs corregidos en el Patch Tuesday de Microsoft para Noviembre

Microsoft ha publicado esta semana correciones para 112 CVE (vulnerabilidades) que afectan a gran parte de su linea de productos, como es habitual cada mes. Sistemas operativos, ofimática, desarrollo….sigue leyendo para saber cuáles te pueden afectar.

Antes de seguir, una recomendación. No instales parches en producción directamente si puedes evitarlo, y hazlo siempre basándote en los estándares que emplea tu empresa en cuanto a gestión de cambios y parcheos.

Boletines de Microsoft para 112 vulnerabilidades

17 de los CVEs que tocan este mes tienen gravedad de tipo crítico. Detallamos a continuación las más destacables:

1. CVE-2020-17087: vulnerabilidad que podría provocar elevación de privilegios en Windows, en el driver cng.sys del módulo de criptografía del kernel. En conjunto con CVE-2020-15999 ha sido utilizado para escapar del sandbox de Google Chrome. Existen parches publicados y es vital comprobar su instalación.
2. CVE-2020-17051: un RCE o vulnerabilidad de tipo Ejecución Remota de Código de tipo crítico. En este caso afecta a la implementación del protocolo NFS o Network File System en sistemas Windows. Esto hace posible un ataque sin necesidad de autenticarse y tiene un CVSS de 9.8. Desde McAfee sospechan que podría combinarse con otro CVE existente para incrementar sus opciones de éxito, además de ser potencialmente wormable. Es decir, se puede comportar como un gusano y esparcirse masivamente.
3. CVE-2020-17042: una vulnerabilidad en el Print Spooler (servicio de impresión) de Windows, que podría provocar un ataque de tipo Remote Code Execution. Lo catalogan como «potencialmente menos explotable», pero su gravedad en la escala CVS es de 8.8 y eso es elevado. No hay detalles sobre su explotación, pero podemos echar la vista atrás a otros problemas ya corregidos por Microsoft, para hacernos una idea: CVE-2020-1337.
4. CVE-2020-17019, CVE-2020-17064, CVE-2020-17065, CVE-2020-17066: todas estas amenazas afectarían a Microsoft Excel. El peligro es de nuevo una posible ejecución remota de código. El CVSSv3 para todas ellas es de 7.8. Es necesaria interacción del usuario para que tenga lugar, pero esto no es tan duro de conseguir. Se piensa que es posible lanzarlo con un archivo Excel modificado y abierto por el usuario, pudiendo combinarse con técnicas de phishing.
5. CVE-2020-17091: por último tenemos otro RCE más, esta vez en Microsoft Teams. Se trata de un RCE con un clic, como lo ha comunicado su descubridor. Esta vulnerabilidad habría sido reportada en Octubre de 2018 y un año después aún no estaba corregida. Finalmente parece que sí es el caso. Abajo un vídeo demostrativo.

Cambio en la descripción de vulnerabilidades

Otro punto importante es que Microsoft acaba de anunciar que hay cambios en su Security Update Guide. Ya no se van a proporcionar descripciones de vulnerabilidades.

En su lugar, se utilizarán exclusivamente los vectores CVSS para ofrecer una información contextual de las amenazas. Se espera que esto sea un problema, como explican desde Tenable:

Dado que los administradores de sistemas perderán bastante contexto que podrían necesitar a la hora de priorizar unos parches sobre otros, o para saber si las mitigaciones pueden utilizarse hasta que estén listos para aplicar parches correctivos.

Tenable

Tabla con los parches de Microsoft para Noviembre 2020

Software	Severidad	ID	Otros	Descripción
IE11	Crítica	CVE-2020-17052 CVE-2020-17053 CVE-2020-17058	Mitigación: Si Explotada: No Pública: No	RCE (ejecución remota de código)
Edge Basado en HTML	Crítica	CVE-2020-17048 CVE-2020-17052 CVE-2020-17054 CVE-2020-17058	Mitigación: Si Explotada: No Pública: No	RCE (ejecución remota de código)
ChakraCore	Crítica	CVE-2020-17048 CVE-2020-17054	Mitigación: No Explotada: No Pública: No	RCE (ejecución remota de código)
Windows 8.1, 8.1 RT, 10, Server 2012, 2012R2, 2016, 2019	Crítica	CVE-2020-1599 CVE-2020-16997 CVE-2020-16998 CVE-2020-16999 CVE-2020-17000 CVE-2020-17001 CVE-2020-17004 CVE-2020-17007 CVE-2020-17010 CVE-2020-17011 CVE-2020-17012 CVE-2020-17013 CVE-2020-17014 CVE-2020-17024 CVE-2020-17025 CVE-2020-17026 CVE-2020-17027 CVE-2020-17028 CVE-2020-17029 CVE-2020-17030 CVE-2020-17031 CVE-2020-17032 CVE-2020-17033 CVE-2020-17034 CVE-2020-17035 CVE-2020-17036 CVE-2020-17037 CVE-2020-17038 CVE-2020-17040 CVE-2020-17041 CVE-2020-17042 CVE-2020-17043 CVE-2020-17044 CVE-2020-17045 CVE-2020-17046 CVE-2020-17047 CVE-2020-17049 CVE-2020-17051 CVE-2020-17055 CVE-2020-17056 CVE-2020-17057 CVE-2020-17068 CVE-2020-17069 CVE-2020-17070 CVE-2020-17071 CVE-2020-17073 CVE-2020-17074 CVE-2020-17075 CVE-2020-17076 CVE-2020-17077 CVE-2020-17078 CVE-2020-17079 CVE-2020-17081 CVE-2020-17082 CVE-2020-17086 CVE-2020-17087* CVE-2020-17088 CVE-2020-17090 CVE-2020-17101 CVE-2020-17102 CVE-2020-17105 CVE-2020-17106 CVE-2020-17107 CVE-2020-17108 CVE-2020-17109 CVE-2020-17110 CVE-2020-17113	Mitigación: No Explotada: Sí Pública: Sí*	Elevación de privilegios Filtrado de información RCE (ejecución remota de código) Bypass de seguridad Spoofing Denegación de servicio
Office 2010, 2013, 2016, 2016 for Mac, 2019, 2019 for Mac, Online Server Office Web Apps 2013 Excel/Word 2010, 2013, 2016 SharePoint Enterprise Server 2013, 2016 SharePoint Foundation 2010, 2013 SharePoint Server 2010, 2019 Teams 365 Apps for Enterprise	Importante	CVE-2020-16979 CVE-2020-17015 CVE-2020-17016 CVE-2020-17017 CVE-2020-17019 CVE-2020-17020 CVE-2020-17060 CVE-2020-17061 CVE-2020-17062 CVE-2020-17063 CVE-2020-17064 CVE-2020-17065 CVE-2020-17066 CVE-2020-17067 CVE-2020-17091	Mitigación: No Explotada: No Pública: No	Filtrado de información RCE (ejecución remota de código) Bypass de seguridad Spoofing
Azure Sphere Azure DevOps Server 2019	Crítica	CVE-2020-1325 CVE-2020-16970 CVE-2020-16981 CVE-2020-16982 CVE-2020-16983 CVE-2020-16984 CVE-2020-16985 CVE-2020-16986 CVE-2020-16987 CVE-2020-16988 CVE-2020-16989 CVE-2020-16990 CVE-2020-16991 CVE-2020-16992 CVE-2020-16993 CVE-2020-16994	Mitigación: No Explotada: No Pública: No	Denegación de servicio Elevación de privilegios Filtrado de información RCE (ejecución remota de código) Spoofing Tampering
Exchange Server 2013, 2016, 2019	Importante	CVE-2020-17083 CVE-2020-17084 CVE-2020-17085	Mitigación: No Explotada: No Pública: No	RCE (ejecución remota de código) Denegación de servicio
Visual Studio Code, 2017, 2019	Importante	CVE-2020-17100 CVE-2020-17104	Mitigación: No Explotada: No Pública: No	RCE (ejecución remota de código) Tampering
Dynamics 365, CRM 2015, 365 On Premises	Importante	CVE-2020-17005 CVE-2020-17006 CVE-2020-17018 CVE-2020-17021	Mitigación: No Explotada: No Pública: No	Spoofing