Múltiples vulnerabilidades en Microsoft (Febrero 2022)
ANÁLISIS
CVE-2022-21926 y CVE-2022-21927
Enviando un archivo de imagen personalizado, un atacante puede ejecutar código remoto en el producto afectado.
Productos afectados:
- HEVC Video Extensions
Esta vulnerabilidad tiene una puntuación oficial CVSSv3 de 7.8, por lo que se considera de prioridad alta. No existe prueba de concepto para esta vulnerabilidad.
CVE-2022-21971
Esta vulnerabilidad afecta a una función del componente Runtime de Windows, mediante el cual un atacante sin autentificar puede ejecutar código remoto.
Productos afectados:
- Windows 10 Version 21H2 for x64-based Systems
- Windows 10 Version 21H2 for ARM64-based Systems
- Windows 10 Version 21H2 for 32-bit Systems
- Windows 11 for ARM64-based Systems
- Windows 11 for x64-based Systems
- Windows Server, version 20H2 (Server Core Installation)
- Windows 10 Version 20H2 for ARM64-based Systems
- Windows 10 Version 20H2 for 32-bit Systems
- Windows 10 Version 20H2 for x64-based Systems
- Windows Server 2022 (Server Core installation)
- Windows Server 2022
- Windows 10 Version 21H1 for 32-bit Systems
- Windows 10 Version 21H1 for ARM64-based Systems
- Windows 10 Version 21H1 for x64-based Systems
- Windows 10 Version 1909 for ARM64-based Systems
- Windows 10 Version 1909 for x64-based Systems
- Windows 10 Version 1909 for 32-bit Systems
- Windows Server 2019 (Server Core installation)
- Windows Server 2019
- Windows 10 Version 1809 for ARM64-based Systems
- Windows 10 Version 1809 for x64-based Systems
- Windows 10 Version 1809 for 32-bit Systems
Esta vulnerabilidad tiene una puntuación oficial CVSSv3 de 7.8, por lo que se considera de prioridad alta. No existe prueba de concepto para esta vulnerabilidad.
CVE-2022-21974
Esta vulnerabilidad afecta a una función del componente Roaming Security Rights Manegement Services de Windows, mediante el cual un atacante sin autentificar puede ejecutar código remoto.
Productos afectados:
- Windows Server 2016 (Server Core installation)
- Windows Server 2016
- Windows 10 Version 1607 for x64-based Systems
- Windows 10 Version 1607 for 32-bit Systems
- Windows 10 Version 21H2 for x64-based Systems
- Windows 10 Version 21H2 for ARM64-based Systems
- Windows 10 Version 21H2 for 32-bit Systems
- Windows 11 for ARM64-based Systems
- Windows 11 for x64-based Systems
- Windows Server, version 20H2 (Server Core Installation)
- Windows 10 Version 20H2 for ARM64-based Systems
- Windows 10 Version 20H2 for 32-bit Systems
- Windows 10 Version 20H2 for x64-based Systems
- Windows Server 2022 (Server Core installation)
- Windows Server 2022
- Windows 10 Version 21H1 for 32-bit Systems
- Windows 10 Version 21H1 for ARM64-based Systems
- Windows 10 Version 21H1 for x64-based Systems
- Windows 10 Version 1909 for ARM64-based Systems
- Windows 10 Version 1909 for x64-based Systems
- Windows 10 Version 1909 for 32-bit Systems
- Windows Server 2019 (Server Core installation)
- Windows Server 2019
- Windows 10 Version 1809 for ARM64-based Systems
- Windows 10 Version 1809 for x64-based Systems
- Windows 10 Version 1809 for 32-bit Systems
Esta vulnerabilidad tiene una puntuación oficial CVSSv3 de 7.8, por lo que se considera de prioridad alta. No existe prueba de concepto para esta vulnerabilidad.
CVE-2022-21984
Esta vulnerabilidad existe en los servidores DNS de Windows. Un atacante puede ejecutar código arbitrario sobre la red en el contexto de Local System Account.
Productos afectados:
- Windows 10 Version 21H2 for x64-based Systems
- Windows 10 Version 21H2 for ARM64-based Systems
- Windows 10 Version 21H2 for 32-bit Systems
- Windows 11 for ARM64-based Systems
- Windows 11 for x64-based Systems
- Windows Server, version 20H2 (Server Core Installation)
- Windows 10 Version 20H2 for ARM64-based Systems
- Windows 10 Version 20H2 for 32-bit Systems
- Windows 10 Version 20H2 for x64-based Systems
- Windows Server 2022 Azure Edition Core Hotpatch
- Windows Server 2022 (Server Core installation)
- Windows Server 2022
- Windows 10 Version 21H1 for 32-bit Systems
- Windows 10 Version 21H1 for ARM64-based Systems
- Windows 10 Version 21H1 for x64-based Systems
- Windows 10 Version 1909 for ARM64-based Systems
- Windows 10 Version 1909 for x64-based Systems
- Windows 10 Version 1909 for 32-bit Systems
Esta vulnerabilidad tiene una puntuación oficial CVSSv3 de 8.8, por lo que se considera de prioridad alta. No existe prueba de concepto para esta vulnerabilidad.
CVE-2022-21988
Esta vulnerabilidad afecta al componente Visio de Microsoft Office, mediante el cual un atacante sin autenticar puede ejecutar código remoto.
Productos afectados:
- Microsoft Office LTSC 2021 for 32-bit editions
- Microsoft Office LTSC 2021 for 64-bit editions
- Microsoft 365 Apps for Enterprise for 64-bit Systems
- Microsoft 365 Apps for Enterprise for 32-bit Systems
- Microsoft Office 2019 for 64-bit editions
- Microsoft Office 2019 for 32-bit editions
Esta vulnerabilidad tiene una puntuación oficial CVSSv3 de 7.8, por lo que se considera de prioridad alta. No existe prueba de concepto para esta vulnerabilidad.
CVE-2022-21989
Esta vulnerabilidad en el Kernel de Windows permite al atacante escalar privilegios.
Productos afectados:
- Windows Server 2012 R2 (Server Core installation)
- Windows Server 2012 R2
- Windows Server 2012 (Server Core installation)
- Windows Server 2012
- Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
- Windows Server 2008 R2 for x64-based Systems Service Pack 1
- Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
- Windows Server 2008 for x64-based Systems Service Pack 2
- Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
- Windows Server 2008 for 32-bit Systems Service Pack 2
- Windows RT 8.1
- Windows 8.1 for x64-based systems
- Windows 8.1 for 32-bit systems
- Windows 7 for x64-based Systems Service Pack 1
- Windows 7 for 32-bit Systems Service Pack 1
- Windows Server 2016 (Server Core installation)
- Windows Server 2016
- Windows 10 Version 1607 for x64-based Systems
- Windows 10 Version 1607 for 32-bit Systems
- Windows 10 for x64-based Systems
- Windows 10 for 32-bit Systems
- Windows 10 Version 21H2 for x64-based Systems
- Windows 10 Version 21H2 for ARM64-based Systems
- Windows 10 Version 21H2 for 32-bit Systems
- Windows 11 for ARM64-based Systems
- Windows 11 for x64-based Systems
- Windows Server, version 20H2 (Server Core Installation)
- Windows 10 Version 20H2 for ARM64-based Systems
- Windows 10 Version 20H2 for 32-bit Systems
- Windows 10 Version 20H2 for x64-based Systems
- Windows Server 2022 Azure Edition Core Hotpatch
- Windows Server 2022 (Server Core installation)
- Windows Server 2022
- Windows 10 Version 21H1 for 32-bit Systems
- Windows 10 Version 21H1 for ARM64-based Systems
- Windows 10 Version 21H1 for x64-based Systems
- Windows 10 Version 1909 for ARM64-based Systems
- Windows 10 Version 1909 for x64-based Systems
- Windows 10 Version 1909 for 32-bit Systems
- Windows Server 2019 (Server Core installation)
- Windows Server 2019
- Windows 10 Version 1809 for ARM64-based Systems
- Windows 10 Version 1809 for x64-based Systems
- Windows 10 Version 1809 for 32-bit Systems
Esta vulnerabilidad tiene una puntuación oficial CVSSv3 de 7.8, por lo que se considera de prioridad alta. No existe prueba de concepto para esta vulnerabilidad.
CVE-2022-21991
El componente Remote Development extension de Microsoft Visual Studio Code permite a un atacante ejecutar código remoto.
Productos afectados:
- Visual Studio Code
Esta vulnerabilidad tiene una puntuación oficial CVSSv3 de 8.1, por lo que se considera de prioridad alta. No existe prueba de concepto para esta vulnerabilidad.
CVE-2022-21992
La vulnerabilidad existe debido a una validación de entrada inadecuada en Windows Mobile Device Management. Un atacante remoto puede enviar una solicitud especialmente diseñada y ejecutar código arbitrario en la víctima.
Productos afectados:
- Windows Server 2016 (Server Core installation)
- Windows Server 2016
- Windows 10 Version 1607 for x64-based Systems
- Windows 10 Version 1607 for 32-bit Systems
- Windows 10 Version 21H2 for x64-based Systems
- Windows 10 Version 21H2 for ARM64-based Systems
- Windows 10 Version 21H2 for 32-bit Systems
- Windows 11 for ARM64-based Systems
- Windows 11 for x64-based Systems
- Windows Server, version 20H2 (Server Core Installation)
- Windows 10 Version 20H2 for ARM64-based Systems
- Windows 10 Version 20H2 for 32-bit Systems
- Windows 10 Version 20H2 for x64-based Systems
- Windows Server 2022 (Server Core installation)
- Windows Server 2022
- Windows 10 Version 21H1 for 32-bit Systems
- Windows 10 Version 21H1 for ARM64-based Systems
- Windows 10 Version 21H1 for x64-based Systems
- Windows 10 Version 1909 for ARM64-based Systems
- Windows 10 Version 1909 for x64-based Systems
- Windows 10 Version 1909 for 32-bit Systems
- Windows Server 2019 (Server Core installation)
- Windows Server 2019
- Windows 10 Version 1809 for ARM64-based Systems
- Windows 10 Version 1809 for x64-based Systems
- Windows 10 Version 1809 for 32-bit Systems
Esta vulnerabilidad tiene una puntuación oficial CVSSv3 de 7.8, por lo que se considera de prioridad alta. No existe prueba de concepto para esta vulnerabilidad.
CVE-2022-22004
Esta vulnerabilidad afecta a una función del componente ClickToRun de Windows, mediante el cual un atacante sin autentificar puede ejecutar código remoto.
Productos afectados:
- Microsoft 365 Apps for Enterprise for 64-bit Systems
- Microsoft 365 Apps for Enterprise for 32-bit Systems
- Microsoft Office 2013 Click-to-Run (C2R) for 64-bit editions
- Microsoft Office 2013 Click-to-Run (C2R) for 32-bit editions
Esta vulnerabilidad tiene una puntuación oficial CVSSv3 de 7.8, por lo que se considera de prioridad alta. No existe prueba de concepto para esta vulnerabilidad.
CVE-2022-22709
La vulnerabilidad existe debido a una validación de entrada inadecuada en las extensiones de vídeo VP9. Un atacante remoto puede enviar una solicitud especialmente diseñada y ejecutar código arbitrario en el sistema de destino.
Productos afectados:
- VP9 Video Extensions
Esta vulnerabilidad tiene una puntuación oficial CVSSv3 de 7.8, por lo que se considera de prioridad alta. No existe prueba de concepto para esta vulnerabilidad.
CVE-2022-23274
La vulnerabilidad existe debido a que la aplicación no impone correctamente las restricciones de seguridad en Microsoft Dynamics GP, lo que conduce a la elusión de las restricciones de seguridad y a la escalada de privilegios.
Productos afectados:
- Microsoft Dynamics GP
Esta vulnerabilidad tiene una puntuación oficial CVSSv3 de 8.3, por lo que se considera de prioridad alta. No existe prueba de concepto para esta vulnerabilidad. [2]
RECOMENDACIONES
Se recomienda actualizar los productos afectados siguiendo la guía de actualización de Microsoft. [3]