### Microsoft aligera el Patch Tuesday de noviembre, pero advierte sobre vulnerabilidades críticas

#### Introducción

Tras un octubre especialmente intenso en materia de actualizaciones de seguridad, el Patch Tuesday de noviembre de 2023 llega con una carga de trabajo más manejable para los equipos de ciberseguridad. Sin embargo, Microsoft insiste en que no debe relajarse la vigilancia, ya que se han identificado varias vulnerabilidades críticas que exigen intervención inmediata. En este artículo se analizan en profundidad los detalles técnicos, el contexto y las recomendaciones clave para profesionales de la seguridad en entornos empresariales.

#### Contexto del Incidente o Vulnerabilidad

El Patch Tuesday de octubre se caracterizó por la publicación de más de 100 parches, incluyendo algunas de las vulnerabilidades más graves del año, como la ejecución remota de código (RCE) en servicios esenciales de Windows. En contraste, noviembre presenta un volumen inferior de actualizaciones, aunque incorpora fallos de seguridad que, de ser explotados, pueden suponer un riesgo elevado para la confidencialidad, integridad y disponibilidad de los sistemas corporativos.

Este mes, Microsoft ha publicado un total de 58 CVEs (Common Vulnerabilities and Exposures), de los cuales al menos cinco han sido catalogados como “críticos” y otros 54 como “importantes”. Además, algunos de estos fallos están siendo activamente explotados en la naturaleza (“zero-day”), lo que aumenta la urgencia de su aplicación.

#### Detalles Técnicos

Entre las vulnerabilidades más destacadas del boletín de noviembre se encuentran:

– **CVE-2023-36033 – Elevación de privilegios en Windows DWM Core Library**
Esta vulnerabilidad permite a un atacante local obtener privilegios de SYSTEM explotando un fallo en la biblioteca DWM Core. La explotación activa ha sido confirmada, y los vectores suelen implicar la ejecución de código malicioso en sistemas con versiones de Windows 10 y 11, así como Windows Server 2019 y 2022.

– **CVE-2023-36025 – Spoofing en Microsoft Outlook**
Permite a un atacante eludir mecanismos de autenticación mediante técnicas de spoofing, lo que facilita ataques de phishing dirigidos y robo de credenciales. Se ha identificado actividad maliciosa relacionada con esta vulnerabilidad.

– **CVE-2023-36036 – Ejecución remota de código en Windows Pragmatic General Multicast (PGM)**
Un fallo que afecta a sistemas que utilizan la funcionalidad PGM para transmisión de datos multicast, vulnerable a ataques RCE mediante la manipulación de paquetes especialmente diseñados. Potencialmente explotable en entornos corporativos donde se use MSMQ (Microsoft Message Queuing).

**TTPs y Frameworks observados:**
– Técnicas MITRE ATT&CK asociadas: T1068 (Explotación para elevación de privilegios), T1190 (Explotación de vulnerabilidades públicas).
– Herramientas de explotación conocidas: Se han identificado PoCs en GitHub y módulos en Metasploit para CVE-2023-36033 y CVE-2023-36036.
– Indicadores de compromiso (IoC): Creación de cuentas locales no autorizadas, anomalías en los logs de DWM y tráfico anómalo en puertos utilizados por PGM/MSMQ.

#### Impacto y Riesgos

El aprovechamiento de estas vulnerabilidades puede acarrear diversas consecuencias graves:

– **Elevación de privilegios**: Permite a un atacante ejecutar código con privilegios de SYSTEM, saltándose controles de acceso y mecanismos de auditoría.
– **Ejecución remota de código**: Facilita la distribución de malware, ransomware o la instalación de backdoors persistentes.
– **Phishing y suplantación de identidad**: Afecta a la integridad del correo electrónico y puede desencadenar brechas de datos personales, exponiendo a las organizaciones a sanciones bajo el RGPD (Reglamento General de Protección de Datos).

Según estimaciones de Microsoft y de firmas de threat intelligence, alrededor de un 35% del parque empresarial aún no ha aplicado los parches críticos de octubre, lo que incrementa el riesgo de explotación combinada (“chaining”) de fallos antiguos y nuevos. El coste medio de una brecha por explotación de vulnerabilidades conocidas supera los 4,4 millones de dólares, de acuerdo con el informe anual de IBM Security.

#### Medidas de Mitigación y Recomendaciones

Para minimizar el riesgo, se recomienda:

– Aplicar de inmediato los parches relativos a las CVEs críticas, especialmente en sistemas expuestos a Internet y servidores de correo.
– Monitorizar logs de DWM, Outlook y MSMQ para detectar actividades sospechosas.
– Implementar segmentación de red y restringir el acceso a servicios vulnerables.
– Revisar la gestión de privilegios y deshabilitar funcionalidades innecesarias.
– Realizar simulaciones de explotación con frameworks como Metasploit o Cobalt Strike para validar la efectividad de los controles actuales.

#### Opinión de Expertos

Especialistas en ciberseguridad como Kevin Beaumont y organizaciones como el SANS Internet Storm Center coinciden en que, aunque el volumen de actualizaciones ha descendido, la presencia de vulnerabilidades explotadas activamente convierte noviembre en un mes crítico. «No es el momento de relajarse tras el maratón de octubre; la prioridad debe estar en la gestión ágil de parches y en la monitorización proactiva», señala Beaumont.

#### Implicaciones para Empresas y Usuarios

Las organizaciones bajo el ámbito de la NIS2 y la RGPD deben prestar especial atención, ya que la explotación de estas vulnerabilidades podría suponer incumplimientos regulatorios y sanciones económicas. Además, la tendencia al alza del ransomware dirigido y los ataques a la cadena de suministro refuerzan la necesidad de mantener los sistemas actualizados y protegidos.

Para usuarios finales, es crucial aplicar las actualizaciones automáticas y desconfiar de correos electrónicos sospechosos, especialmente aquellos relacionados con Outlook, dado el vector de spoofing detectado.

#### Conclusiones

Aunque el Patch Tuesday de noviembre sea menos voluminoso que el de octubre, la presencia de vulnerabilidades críticas y explotadas activamente exige máxima atención por parte de los equipos de ciberseguridad. La gestión rápida y eficaz de los parches es esencial para mantener la resiliencia organizativa y evitar incidentes de alto impacto.

(Fuente: www.darkreading.com)