builderall


Microsoft abordó el martes un conjunto de 80 fallos de seguridad en su software, incluida una vulnerabilidad que se había revelado públicamente en el momento del lanzamiento.


De las 80 vulnerabilidades, ocho se consideran críticas y 72 importantes en cuanto a su gravedad. Ninguna de las deficiencias se ha explotado en el mundo real como un zero-day. Al igual que el mes pasado, 38 de las fallas reveladas están relacionadas con la escalada de privilegios, seguidas por la ejecución remota de código (22), la divulgación de información (14) y la denegación de servicio (3).


"Por tercera vez este año, Microsoft ha corregido más vulnerabilidades de elevación de privilegios que fallos de ejecución remota de código", afirmó Satnam Narang, ingeniero de investigación sénior de Tenable. "Casi el 50 % (47,5 %) de todos los errores de este mes son vulnerabilidades de escalada de privilegios".


Los parches se suman a las 12 vulnerabilidades corregidas en el navegador Edge basado en Chromium de Microsoft desde la publicación de la actualización Patch Tuesday de agosto de 2025, incluido un error de omisión de seguridad (CVE-2025-53791, puntuación CVSS: 4,7) que se ha corregido en la versión 140.0.3485.54 del navegador.


La vulnerabilidad que se ha señalado como conocida públicamente es CVE-2025-55234 (puntuación CVSS: 8,8), un caso de escalada de privilegios en Windows SMB.


"El servidor SMB podría ser susceptible a ataques de retransmisión dependiendo de la configuración", afirmó Microsoft. "Un atacante que explotara con éxito estas vulnerabilidades podría realizar ataques de retransmisión y someter a los usuarios a ataques de elevación de privilegios".


El fabricante de Windows afirmó que la actualización permite auditar la compatibilidad de los clientes SMB para la firma de servidores SMB, así como para SMB Server EPA, lo que permite a los clientes evaluar su entorno y detectar cualquier posible problema de incompatibilidad de dispositivos o software antes de implementar las medidas de refuerzo adecuadas.


"La conclusión clave del aviso CVE-2025-55234, aparte de la explicación de la conocida superficie de ataque en torno a la autenticación SMB, es que esta es una de esas ocasiones en las que simplemente aplicar parches no es suficiente; de hecho, los parches proporcionan a los administradores más opciones de auditoría para determinar si su servidor SMB está interactuando con clientes que no admiten las opciones de refuerzo recomendadas", afirmó Adam Barnett, ingeniero jefe de software de Rapid7.


Mike Walters, presidente y cofundador de Action, dijo que la vulnerabilidad se debe al hecho de que las sesiones SMB pueden establecerse sin validar adecuadamente el contexto de autenticación cuando no se aplican medidas de refuerzo clave, como la firma SMB y la protección ampliada para la autenticación.


"Esta brecha abre la puerta a ataques de retransmisión de tipo man-in-the-middle, en los que los atacantes pueden capturar y reenviar material de autenticación para obtener acceso no autorizado", añadió Walters. "Puede convertirse fácilmente en parte de una campaña más amplia, pasando del phishing a la retransmisión SMB, el robo de credenciales, el movimiento lateral y, finalmente, la exfiltración de datos".


El CVE con la puntuación CVSS más alta de este mes es CVE-2025-54914 (puntuación CVSS: 10,0), un fallo crítico que afecta a Azure Networking y que podría dar lugar a una escalada de privilegios. No requiere ninguna acción por parte del cliente, ya que se trata de una vulnerabilidad relacionada con la nube.


Otras dos deficiencias que merecen atención son un fallo de ejecución remota de código en Microsoft High Performance Compute (HPC) Pack (CVE-2025-55232, puntuación CVSS: 9,8) y un problema de elevación de privilegios que afecta a Windows NTLM (CVE-2025-54918, puntuación CVSS: 8,8) y que podría permitir a un atacante obtener privilegios del SISTEMA.


"Según la descripción limitada de Microsoft, parece que si un atacante es capaz de enviar paquetes especialmente diseñados a través de la red al dispositivo de destino, tendría la capacidad de obtener privilegios de nivel del SISTEMA en la máquina de destino", afirmó Kev Breen, director sénior de investigación de amenazas de Immersive.


"Las notas del parche para esta vulnerabilidad indican que «una autenticación incorrecta en Windows NTLM permite a un atacante autorizado elevar los privilegios a través de una red", lo que sugiere que es posible que el atacante ya necesite tener acceso al hash NTLM o a las credenciales del usuario».


Por último, la actualización también corrige una vulnerabilidad de seguridad (CVE-2024-21907, puntuación CVSS: 7,5) en Newtonsoft. Json, un componente de terceros utilizado en SQL Server, que podría explotarse para provocar una condición de denegación de servicio, así como dos vulnerabilidades de escalada de privilegios en Windows BitLocker (CVE-2025-54911, puntuación CVSS: 7,3, y CVE-2025-54912, puntuación CVSS: 7,8).


A Hussein Alrubaye, de Microsoft, se le atribuye el descubrimiento y la notificación de ambas fallas de BitLocker. Las dos fallas se suman a otras cuatro vulnerabilidades (denominadas colectivamente BitUnlocker) en la función de cifrado de disco completo que fueron corregidas por Microsoft en julio de 2025.






La explotación exitosa de cualquiera de las cuatro fallas mencionadas anteriormente podría permitir a un atacante con acceso físico al objetivo eludir las protecciones de BitLocker y obtener acceso a los datos cifrados.


"Para mejorar aún más la seguridad de BitLocker, recomendamos habilitar TPM+PIN para la autenticación previa al arranque", afirmaron los investigadores Netanel Ben Simon y Alon Leviev, del equipo de pruebas de seguridad e investigación ofensiva de Microsoft (STORM), en un informe publicado el mes pasado. "Esto reduce significativamente las superficies de ataque de BitLocker al limitar la exposición únicamente al TPM".


"Para mitigar los ataques de degradación de BitLocker, recomendamos habilitar la mitigación REVISE. Este mecanismo aplica un control de versiones seguro en los componentes críticos de arranque, lo que evita degradaciones que podrían reintroducir vulnerabilidades conocidas en BitLocker y Secure Boot".


La revelación se produce después de que Purple Team detallara una nueva técnica de movimiento lateral denominada BitLockMove, que implica la manipulación remota de las claves de registro de BitLocker a través de Windows Management Instrumentation (WMI) para secuestrar objetos COM específicos de BitLocker.


BitLockMove, desarrollado por el investigador de seguridad Fabian Mosch, funciona iniciando una conexión remota con el host de destino a través de WMI y copiando una DLL maliciosa al destino a través de SMB. En la siguiente fase, el atacante escribe una nueva clave de registro que especifica la ruta de la DLL, lo que finalmente hace que BitLocker cargue la DLL copiada secuestrando sus objetos COM.


"El objetivo del secuestro COM de BitLocker es ejecutar código en el contexto del usuario interactivo en un host de destino", afirma Purple Team. "En caso de que el usuario interactivo tenga privilegios excesivos (es decir, administrador de dominio), esto también podría dar lugar a una escalada de dominio".


Fuente: thehackernews