La actualización del martes de parches de mayo incluye 3 cero

Por Greg Lambert, Colaborador, Computerworld |

Greg Lambert evalúa los riesgos para las aplicaciones y los entornos existentes en el ciclo Patch Tuesday de cada mes.

En su actualización de mayo, Microsoft abordó 51 vulnerabilidades en Windows, Microsoft Office y Visual Studio. Y con tres fallas de día cero para solucionar con urgencia en Windows (CVE-2023-24932, CVE-2023-29325 y CVE-2023-29336), el enfoque de este mes debe ser la actualización rápida de Windows y Microsoft Office. Ambas plataformas obtienen nuestra recomendación "Patch Now".

Las pruebas para este ciclo de parches deben incluir la validación del arranque seguro de Windows, el escritorio remoto y las transferencias de VPN, y asegurarse de que Microsoft Outlook maneje los archivos de documentos (RTF y DOC) correctamente. El equipo de Application Readiness ha elaborado esta útil infografía para describir los riesgos asociados con cada una de las actualizaciones de este ciclo.

Cada mes, Microsoft incluye una lista de problemas conocidos relacionados con el sistema operativo y las plataformas incluidas en las últimas actualizaciones. Para mayo, estos incluyen:

Un problema que aún afecta a todas las versiones de Windows 10 (como lo ha hecho durante los últimos tres meses) es que los perfiles de los dispositivos de quiosco aún no inician sesión automáticamente. Microsoft está trabajando en una solución. Y para aquellos que buscan algún valor redentor en las actualizaciones de juegos (¿quién no lo está en estos días?) Ahora se informa que Red Dead Redemption 2 puede iniciarse. Bien hecho.

Este mes, no ha habido actualizaciones de CVE ni revisiones importantes de parches anteriores.

Microsoft no ha publicado más mitigaciones o soluciones alternativas para los parches de este mes.

Cada mes, el equipo de Readiness analiza las últimas actualizaciones de Patch Tuesday y proporciona una guía de prueba detallada y procesable. La guía se basa en la evaluación de una gran cartera de aplicaciones y un análisis detallado de los parches de Microsoft y su impacto potencial en Windows y las instalaciones de aplicaciones).

Dada la gran cantidad de cambios a nivel del sistema incluidos en este ciclo, he desglosado los escenarios de prueba en perfiles estándar y de alto riesgo.

Microsoft realizó cambios significativos este mes en el Módulo TPM, en particular, Arranque seguro y BitLocker. El equipo de preparación sugiere las siguientes pruebas básicas para esta actualización:

No estamos seguros de la validez de los medios de recuperación una vez que se haya aplicado esta actualización del martes de parches de mayo. Sus medios de recuperación de arranque pueden fallar o fallarán si se crearon en sistemas anteriores a esta actualización. Una vez que haya realizado esta actualización, deberá asegurarse de que se completen y prueben las copias de seguridad completas. Este escenario afecta tanto a los escritorios de Windows 11 (22H2) como a Windows Server 2022.

Los siguientes cambios incluidos en la actualización de este mes no se han planteado como ajustes de alto riesgo y no incluyen cambios funcionales.

Todos estos escenarios de prueba requieren pruebas significativas a nivel de aplicación antes de la implementación general. Dada la naturaleza de los cambios incluidos en estos parches, el equipo de Readiness recomienda lo siguiente:

Las pruebas automatizadas ayudarán con estos escenarios (especialmente usando una plataforma de prueba que ofrezca un "delta" o comparación entre compilaciones). Para las aplicaciones de línea de negocio que implican que el propietario de la aplicación (haciendo UAT) pruebe y apruebe los resultados de la prueba, esto sigue siendo esencial.

Esta sección incluye cambios importantes en el servicio (y la mayoría de las actualizaciones de seguridad) para las plataformas de servidor y escritorio de Windows.

Cada mes, desglosamos el ciclo de actualización en familias de productos (según lo define Microsoft) con las siguientes agrupaciones básicas:

Microsoft lanzó 11 actualizaciones de bajo perfil para su cartera de navegadores, todas las cuales han sido calificadas como importantes. Para aquellos que todavía usan el código base (IE) más antiguo, la aplicación de escritorio Internet Explorer 11 retirada sin soporte se desactivó permanentemente como parte de la actualización de seguridad de Windows de febrero (versión "B"). Agregue estas actualizaciones a su programa de lanzamiento de parches estándar.

Este mes, Microsoft lanzó cinco actualizaciones críticas y 22 parches considerados importantes para la plataforma Windows; cubren los siguientes componentes clave:

A primera vista, el lanzamiento de mayo de Windows parecía ser bastante ligero, con una cantidad de actualizaciones críticas inferior a la normal. Sin embargo, Microsoft identificó y abordó una vulnerabilidad en el proceso de arranque seguro de Windows tan complejo que se requiere una versión por etapas. Identificada como CVE-2023-24932, Microsoft advierte que esta vulnerabilidad permite que un "atacante ejecute código autofirmado en el nivel de la Interfaz de firmware extensible unificada (UEFI) mientras el Arranque seguro está habilitado".

Sí, escuchó bien, su proceso de arranque seguro se ha visto comprometido (presentado por Black Lotus). Como se mencionó en la sección de orientación de prueba anterior, los medios de arranque deben analizarse cuidadosamente; de lo contrario, los servidores "bloqueados" son una posibilidad real. Antes de continuar, lea esta guía actualizada para CVE-2023-24932, con más lecturas sobre la campaña Black Lotus disponibles aquí.

Agregue esta actualización a su calendario de lanzamiento de "Patch Now".

Microsoft lanzó una actualización crítica para SharePoint Server este mes. Además de esto, llegaron otras seis actualizaciones calificadas como importantes que afectan a Word, Excel y Teams. El enfoque debe estar en Microsoft Outlook (CVE-2023-29324) con un parche actualizado (a una mitigación anterior) para resolver una vulnerabilidad grave de elevación de privilegios (EOP). Microsoft publicó un documento de mitigación de actualización (d) para explicar este grave problema de seguridad.

Aunque la vulnerabilidad relacionada con Windows OLE (CVE-2023-29325) debe incluirse en la sección de Windows de este mes, el problema real con esta biblioteca central del sistema implica cómo Microsoft Outlook maneja las solicitudes "abiertas" de RTF y Word Doc. No hemos recibido ningún informe de estas otras vulnerabilidades relacionadas con Microsoft Office que se hayan explotado en la naturaleza ni divulgaciones públicas para Excel. Dada la urgencia de estos parches de Microsoft Outlook y del núcleo de Microsoft Office (OLE), agregue estas actualizaciones de Office a su programa de lanzamiento "Patch Now".

Buenas noticias: ningún Exchange Server actualiza este ciclo.

Microsoft lanzó solo dos actualizaciones este mes (CVE-2023-29338 y CVE-2023-29343), ambas calificadas como importantes. Afectando solo a Visual Studio y Sysmon (gracias, Mark), hay un perfil de prueba muy bajo para cualquiera de las actualizaciones. Agregue estas actualizaciones a su programa de lanzamiento estándar para desarrolladores.

Adobe Reader (todavía aquí, pero no este mes)

¡Días felices! No hay actualizaciones de Adobe Reader de Microsoft para mayo.

Greg Lambert es un evangelista de Application Readiness, los especialistas en evaluación en línea y conversión de aplicaciones. Greg es cofundador de ChangeBASE y ahora director ejecutivo de Application Readiness, y tiene una experiencia considerable con la tecnología de empaquetado de aplicaciones y su implementación.

Derechos de autor © 2023 IDG Communications, Inc.