Por primera vez en 2025, Microsoft no incluirá correcciones de vulnerabilidades de seguridad explotadas, pero la empresa reconoció que uno de los fallos abordados era de dominio público.

Los parches resuelven la friolera de 130 vulnerabilidades, junto con otros 10 CVE ajenos a Microsoft que afectan a Visual Studio, AMD y su navegador Edge basado en Chromium. De ellas, 10 están calificadas como Críticas y las restantes tienen todas una gravedad Importante.

"La racha de 11 meses sin parchear al menos un zero-day explotado in the wild ha terminado este mes", ha declarado Satnam Narang, Senior Staff Research Engineer de Tenable.

Cincuenta y tres de estas deficiencias se clasifican como fallos de escalada de privilegios, seguidos por 42 de ejecución remota de código, 17 de divulgación de información y 8 de elusión de funciones de seguridad. Estos parches se suman a otros dos fallos abordados por la compañía en el navegador Edge desde el lanzamiento de la actualización Patch Tuesday del mes pasado.

La vulnerabilidad que aparece en la lista de conocimiento público es un fallo de divulgación de información en Microsoft SQL Server (CVE-2025-49719, puntuación CVSS: 7,5) que podría permitir a un atacante no autorizado filtrar memoria no inicializada.

"Es muy posible que un atacante no descubra nada de valor, pero con suerte, persistencia o alguna manipulación muy astuta del exploit, el premio podría ser material de claves criptográficas u otras joyas de la corona de SQL Server", afirma en un comunicado Adam Barnett, ingeniero jefe de software de Rapid7.

Mike Walters, Presidente y Cofundador de Action1, dijo que el fallo es probablemente el resultado de una validación de entrada inadecuada en la gestión de memoria de SQL Server, lo que permite el acceso a memoria no inicializada.

"Como resultado, los atacantes podrían recuperar restos de datos sensibles, como credenciales o cadenas de conexión", añadió Walters. "Afecta tanto al motor de SQL Server como a las aplicaciones que utilizan controladores OLE DB".

El fallo más crítico parcheado por Microsoft como parte de las actualizaciones de este mes se refiere a un caso de ejecución remota de código que afecta a SPNEGO Extended Negotiation (NEGOEX). Registrado como CVE-2025-47981, tiene una puntuación CVSS de 9,8 sobre 10,0.

"El desbordamiento de búfer basado en Heap en Windows SPNEGO Extended Negotiation permite a un atacante no autorizado ejecutar código a través de una red", dijo Microsoft en un aviso. "Un atacante podría explotar esta vulnerabilidad enviando un mensaje malicioso al servidor, lo que potencialmente conduciría a la ejecución remota de código".

Se ha atribuido a un investigador anónimo y a Yuki Chen el descubrimiento y reparación del fallo. Microsoft señaló que el problema solo afecta a las máquinas cliente de Windows que ejecutan Windows 10, versión 1607 y superior debido a la "Seguridad de red: Permitir que las solicitudes de autenticación PKU2U a este equipo utilicen identidades en línea" Objeto de directiva de grupo (GPO) que está habilitado de forma predeterminada.

"Como siempre, la Ejecución Remota de Código es mala, pero los primeros análisis están sugiriendo que esta vulnerabilidad puede ser ?wormable? - el tipo de vulnerabilidad que podría ser aprovechada en malware autopropagable y hacer que muchos revisen el trauma del incidente WannaCry", dijo el fundador y CEO de watchTowr, Benjamin Harris.

"Microsoft es claro sobre los requisitos previos aquí: no se requiere autenticación, solo acceso a la red, y la propia Microsoft cree que la explotación es ?Más probable?. No debemos engañarnos: si la industria privada ha detectado esta vulnerabilidad, sin duda ya está en el radar de todo atacante con una pizca de malicia. Los defensores tienen que dejarlo todo, parchear rápidamente y cazar los sistemas expuestos".

Otras vulnerabilidades de importancia son los fallos de ejecución remota de código que afectan a Windows KDC Proxy Service (CVE-2025-49735, puntuación CVSS: 8,1), Windows Hyper-V (CVE-2025-48822, puntuación CVSS: 8,6) y Microsoft Office (CVE-2025-49695, CVE-2025-496966 y CVE-2025-49697, puntuaciones CVSS: 8,4).

"Lo que hace que CVE-2025-49735 sea significativo es la exposición a la red combinada con la ausencia de privilegios o interacción del usuario. A pesar de su alta complejidad de ataque, la vulnerabilidad abre la puerta al compromiso remoto pre-auth, particularmente atractivo para APTs y actores de estado-nación", dijo Ben McCarthy, Ingeniero Líder de Ciberseguridad en Immersive.

"El atacante debe ganar una condición de carrera -un fallo de sincronización en el que la memoria se libera y reasigna en una ventana específica-, lo que significa que la fiabilidad es baja por ahora. Sin embargo, este tipo de problemas se pueden aprovechar con técnicas como el heap grooming, lo que hace posible su explotación".

Por otra parte, la actualización cierra cinco brechas de seguridad en Bitlocker (CVE-2025-48001, CVE-2025-48003, CVE-2025-48800, CVE-2025-48804 y CVE-2025-48818, puntuaciones CVSS: 6,8) que podrían permitir a un atacante con acceso físico al dispositivo hacerse con datos cifrados.

"Un atacante podría aprovechar esta vulnerabilidad cargando un archivo WinRE.wim mientras el volumen del sistema operativo está desbloqueado, lo que daría acceso a los datos cifrados con BitLocker", explica Microsoft sobre CVE-2025-48804.

Los investigadores Netanel Ben Simon y Alon Leviev de Microsoft Offensive Research and Security Engineering (MORSE) han sido reconocidos por informar de los cinco problemas en la herramienta de cifrado de disco integrada.

"Si se explotan, estos fallos podrían exponer archivos sensibles, credenciales o permitir la manipulación de la integridad del sistema", dijo Jacob Ashdown, Ingeniero de Seguridad Cibernética en Immersive. "Esto plantea un riesgo particular, especialmente para las organizaciones donde los dispositivos pueden perderse o ser robados, ya que los atacantes con acceso práctico podrían potencialmente eludir el cifrado y extraer datos confidenciales."

También vale la pena señalar que el 8 de julio de 2025 marca oficialmente el final del camino para SQL Server 2012, que dejará de recibir futuros parches de seguridad en la lista del programa Extended Security Update (ESU) que llega a su fin.

Fuente: thehackernews