Una vulnerabilidad crítica de ejecución remota de código en Microsoft Exchange y otra en Microsoft SharePoint son dos de las más importantes que se corrigieron en el paquete de actualizaciones de septiembre.

En el paquete de actualizaciones correspondientes al mes de septiembre, Microsoft corrigió un total de 129 vulnerabilidades recientemente descubiertas en sus respectivos productos. Del total de fallos reparados, 23 fueron clasificados como críticos, 105 como importantes y uno como moderado. Así, la compañía iguala la cantidad de vulnerabilidades reparadas en el paquete de junio, que hasta ahora había sido el más grande de la historia, aunque cabe destacar que en los lanzamientos de los últimos meses se registró un alto número de fallos reparados, dejando al paquete de julio con 123 vulnerabilidades como el tercero más grande y en cuarto lugar al paquete de actualizaciones de agosto.

A diferencia del mes pasado en el que se parchearon dos vulnerabilidades zero-days que estaban siendo explotados de manera activa por actores maliciosos, en el paquete de septiembre no se registraron vulnerabilidades que estén bajo explotación. Otro dato relevante es que 32 de las vulnerabilidades reparadas son de ejecución remota de código y 20 de las mismas fueron clasificadas como críticas. Recordemos que la posibilidad de ejecutar código arbitrario podría permitir a un atacante acceder, modificar o eliminar datos, así como instalar programas.

Una de las vulnerabilidades críticas que más se destaca es la CVE-2020-16875. Se trata de un fallo de corrupción de memoria que existe en las versiones 2016 y 2019 de Microsoft Exchange server. El mismo permitiría a un atacante la ejecución remota de código y puede ser explotado mediante el envío de un correo electrónico especialmente diseñado a un servidor Exchange, aunque según señala Microsoft, su probabilidad de explotación es baja.

En el caso de Microsoft SharePoint, este mes se repararon un total de 16 vulnerabilidades, 6 de cross-site scripting (XSS) y 7 de ejecución de código, que a su vez forman parte del listado de vulnerabilidades críticas corregidas este mes. Entre ellas se destaca la CVE-2020-1210, cuya severidad según la escala CVSS es de 9.9 sobre 10.

Toda la lista de vulnerabilidades reparadas. 

Créditos: Welive Security