builderall


Microsoft publicó el martes actualizaciones de seguridad para corregir 57 vulnerabilidades de seguridad de su software, entre ellas 6 zero-days que, según afirma, han sido explotadas activamente en la red.


De los 56 fallos, seis se consideran críticos, 50 importantes y uno de gravedad baja. Veintitrés de las vulnerabilidades abordadas son fallos de ejecución remota de código y 22 están relacionadas con la elevación de privilegios.


Las actualizaciones se suman a las 17 vulnerabilidades que Microsoft ha abordado en su navegador Edge basado en Chromium desde la publicación de la actualización del martes de parches del mes pasado, una de las cuales es un fallo de suplantación de identidad específico del navegador (CVE-2025-26643, puntuación CVSS: 5,4).


A continuación se enumeran las seis vulnerabilidades que han sido objeto de explotación activa:








ESET, a quien se atribuye el descubrimiento y la notificación de CVE-2025-24983, dijo que descubrió por primera vez el exploit zero-day en la naturaleza en marzo de 2023 y entregado a través de una puerta trasera llamada PipeMagic en hosts comprometidos.


"La vulnerabilidad es un use-after-free en el controlador Win32k", señaló la empresa eslovaca. "En un determinado escenario logrado utilizando la API WaitForInputIdle, la estructura W32PROCESS se dereferenciada una vez más de lo que debería, causando UAF. Para llegar a la vulnerabilidad, se debe ganar una condición de carrera".


PipeMagic, descubierto por primera vez en 2022, es un troyano basado en plugins que ha tenido como objetivo entidades de Asia y Arabia Saudí, con el malware distribuido en forma de una aplicación OpenAI ChatGPT falsa en campañas de finales de 2024.


"Una de las características únicas de PipeMagic es que genera una matriz aleatoria de 16 bytes para crear una tubería con nombre en el formato <hex string>", reveló Kaspersky en octubre de 2024. "Genera un hilo que crea continuamente esta tubería, lee datos de ella y luego la destruye".


"Esta tubería se utiliza para recibir payloads codificadas, señales de parada a través de la interfaz local predeterminada. PipeMagic suele funcionar con varios plugins descargados de un servidor de comando y control (C2) que, en este caso, estaba alojado en Microsoft Azure."


La Zero Day Initiative señaló que CVE-2025-26633 se deriva de cómo se manejan los archivos MSC, lo que permite a un atacante evadir las protecciones de reputación de archivos y ejecutar código en el contexto del usuario actual. La actividad se ha vinculado a un actor de amenazas rastreado como EncryptHub (alias LARVA-208).


Action1 señaló que los actores de amenazas podrían encadenar las cuatro vulnerabilidades que afectan a componentes básicos del sistema de archivos de Windows para provocar la ejecución remota de código (CVE-2025-24985 y CVE-2025-24993) y la revelación de información (CVE-2025-24984 y CVE-2025-24991). Los cuatro fallos se notificaron de forma anónima.


"En concreto, el exploit se basa en que el atacante elabore un archivo VHD malicioso y convenza a un usuario para que abra o monte un archivo VHD", explicó Kev Breen, director senior de investigación de amenazas de Immersive. "Los VHD son discos duros virtuales y normalmente se asocian con el almacenamiento del sistema operativo para máquinas virtuales".


"Aunque suelen asociarse a las máquinas virtuales, hemos visto ejemplos a lo largo de los años en los que los actores de amenazas utilizan archivos VHD o VHDX como parte de campañas de phishing para pasar de contrabando payloads de malware a través de soluciones antivirus. Dependiendo de la configuración de los sistemas Windows, basta con hacer doble clic en un archivo VHD para montar el contenedor y, por tanto, ejecutar cualquier payload contenida en el archivo malicioso".


Según Satnam Narang, ingeniero de investigación senior de Tenable, CVE-2025-26633 es el segundo fallo en MMC que se explota como zero-day después de CVE-2024-43572 y CVE-2025-24985 es la primera vulnerabilidad en el controlador del sistema de archivos FAT rápido de Windows desde marzo de 2022. También es la primera que se explota in the wild como día cero.


Como es habitual, actualmente se desconoce qué vulnerabilidades restantes están siendo explotadas, en qué contexto y la escala exacta de los ataques. Este hecho ha llevado a la Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de EE.UU. a añadirlas al catálogo de Vulnerabilidades Explotadas Conocidas (KEV), exigiendo a los organismos federales que apliquen las correcciones antes del 1 de abril de 2025.


Fuente: thehackernews