Actualizaciones de Microsoft, octubre de 2013: versiones antiguas de Internet Explorer, Office, Silverlight convierten tu equipo en una casa embrujada del terror

El Boletín del Horror 2013 de Microsoft incluye una larga lista de soluciones para vulnerabilidades de corrupción de memoria, que hacen efecto principalmente en las versiones más antiguas del programa, no en las últimas. Lo que requiere el interés inmediato de la mayoría de los usuarios de Windows son las vulnerabilidades críticas que se están parchando en Internet Explorer, diferentes controladores de Windows y el marco –NET que afecta hasta a las versiones más recientes de Windows 8 y Windows Server 2012. Los administradores del sistema de organizaciones también pueden prestar atención inmediata a las vulnerabilidades críticas de la biblioteca Windows Control Common Library parchada por MS13-083, que permite la explotación de la aplicación web ASP.NET del lado del servidor en sistemas de 64 bits. MS13-080 a MS13-087 incluyen cuatro boletines Críticos y cuatro Importantes que solucionan 26 vulnerabilidades.

La mayor parte de la lista de boletines embrujados de octubre es muy parecida a la de septiembre, pero las noticias de este mes son que las vulnerabilidades de Internet Explorer CVE-2013-3893 y CVE-2013-3897 se están explotando como parte de ataques dirigidos. Hemos estado vigilando la situación en Japón y el sudeste asiático, donde los atacantes han estado usando exploits que pueden afectar con éxito a las versiones 8 y 9 de Internet Explorer.

Nos sorprende que las vulnerabilidades de Office que afectan a Office 2003 y 2007 que se parchan con MS13-084, MS13-085, y MS13-086 sólo estén calificadas como “importantes”, siendo que Microsoft Excel y Word han sido importantes vectores de ataques phishing dirigidos durante este último año. Las vulnerabilidades permiten la ejecución remota de código en sistemas en los que se engaña al usuario para que abra un archivo adjunto malicioso.

Algo interesante e inusual que apareció este mes es la vulnerabilidad de la Biblioteca de Control Windows Common, que afecta sólo a las aplicaciones web x64 ASP.NET. Los atacantes pueden enviar una solicitud web de autentificación previa a las aplicaciones web que atacan la vulnerabilidad de desbordamiento de números enteros CVE-2013-3195, que permite la ejecución remota de códigos. Por más que los administradores del sistema sean cautelosos, sus servidores pueden acabar ejecutando procesos con derechos locales de usuario.

El sitio de Microsoft tiene todos los detalles sobre el Boletín del Horror de Octubre. El programa Microsoft Update es una forma fácil y cómoda de mantener tu sistema al día en las actualizaciones. Si utilizas programas Microsoft, por favor no pierdas tiempo y párchalos lo antes posible.