El primer martes de parches del año de Microsoft corrige 98 vulnerabilidades de seguridad, incluidas 10 clasificadas como críticas para Windows. Una vulnerabilidad (CVE-2023-21674) en una sección importante del código de Windows es un día cero que requiere atención inmediata. Y Adobe está de regreso con una actualización crítica, junto con algunas correcciones silenciosas para el navegador Microsoft Edge.
Agregamos actualizaciones de Windows y Adobe a nuestra lista «Patch Now», reconociendo que los lanzamientos de parches de este mes requerirán un esfuerzo significativo de prueba e ingeniería. el equipo de Preparación de aplicaciones proporcionado un infografia util que describe los riesgos asociados con cada una de las actualizaciones para este ciclo de actualización de enero.
Contenido del sitio
Problemas conocidos
Cada mes, Microsoft incluye una lista de problemas conocidos relacionados con el sistema operativo y las plataformas incluidas en ese ciclo de actualización.
- Microsoft Exchange (2016 y 2019): después de instalar esta actualización de enero, las vistas previas de la página web para las direcciones URL compartidas en Outlook en la web (OWA) no se muestran correctamente. Microsoft está trabajando actualmente en una solución para esto.
- Windows 10: después de la instalación KB5001342 o más tarde el Servicio de clúster de Microsoft es posible que no se inicie porque no se pudo encontrar un controlador de red de clúster.
Todavía hay algunos problemas conocidos pendientes para ventanas 7, ventanas 8.x Y Servidor Windows 2008pero al igual que con los sistemas operativos obsoletos (e inseguros), es hora de seguir adelante.
Revisiones importantes
Microsoft no lanzó ninguna revisión importante este mes. Ha habido varias actualizaciones de parches anteriores, pero solo con fines de documentación. No se requieren más acciones aquí.
Mitigación y soluciones alternativas
Microsoft no ha publicado mitigaciones o soluciones alternativas específicas para el ciclo de lanzamiento del martes de parches de enero de este mes.
guía de prueba
Cada mes, el equipo de preparación analiza las últimas actualizaciones de Patch Tuesday de Microsoft y proporciona una guía de prueba detallada y procesable. Este consejo se basa en la evaluación de una amplia cartera de aplicaciones y un análisis detallado de los parches de Microsoft y su impacto potencial en las plataformas Windows y las instalaciones de aplicaciones.
Dada la gran cantidad de cambios incluidos en este ciclo de parches de enero, he dividido los casos de prueba en grupos de alto riesgo y riesgo estándar:
Alto riesgo: Esta actualización de enero de Microsoft realiza una cantidad significativa de cambios de alto riesgo en el kernel del sistema y en los subsistemas de impresión de Windows. Desafortunadamente, estos cambios incluyen archivos críticos del sistema como win32base.sys, sqlsrv32.dll y win32k.sys, lo que amplía aún más el perfil de prueba para este ciclo de parches.
Dado que todos los cambios de alto riesgo afectan al subsistema de impresión de Microsoft Windows (aunque no hemos visto ningún cambio de función lanzado), recomendamos encarecidamente las siguientes pruebas centradas en la impresión:
- Agregue y elimine marcas de agua mientras imprime.
- Cambie el directorio de cola de impresión predeterminado.
- Conéctese a una impresora Bluetooth e imprima páginas en blanco y negro y en color.
- Intente utilizar el controlador de la filmadora de MS Publisher (Microsoft). Está disponible como un controlador de impresora «genérico» y se puede instalar en cualquier computadora con Windows 8.xo posterior. Debido a la gran cantidad de sitios de descarga que ofrecen este reproductor, asegúrese de que su descarga esté firmada digitalmente y provenga de una fuente confiable (por ejemplo, Windows Update).
Todos estos escenarios requerirán pruebas significativas a nivel de aplicación antes del lanzamiento general de la actualización de este mes. Además de estos requisitos de prueba específicos, sugerimos pruebas generales de las siguientes características de impresión:
- Impresión desde impresoras conectadas directamente.
- Impresión remota (mediante RDP y VPN).
- Pruebe escenarios físicos y virtuales con aplicaciones de 32 bits en máquinas de 64 bits.
De manera más general, dada la naturaleza extensa de esta actualización, sugerimos probar las siguientes funciones y componentes de Windows:
- Pruebe escenarios basados en usuarios que aprovechen la compatibilidad con puntos de contacto y gestos.
- Intenta iniciar/cerrar sesión COPA Sesiones de VPN. Puede leer más sobre estos protocolos actualizados aquí.
- Usando Microsoft LDAP Los servicios prueban aplicaciones que requieren acceso a consultas de Active Directory.
Además de estos cambios y los requisitos de prueba posteriores, he incluido algunos de los escenarios de prueba más difíciles para esta actualización de enero:
- Consultas SQL: Dios mío. Deberá asegurarse de que sus aplicaciones de misión crítica que usan SQL (¿y las que no lo usan?) realmente funcionen. Como en «devolver los conjuntos de datos correctos de consultas de bases de datos extremadamente complejas, de múltiples fuentes y heterogéneas». Dicho esto, Microsoft tiene ha dicho, «Esta actualización resuelve un problema conocido que afecta a las aplicaciones que utilizan el controlador SQL Server de Microsoft Open Database Connectivity (ODBC) (sqlsrv32.dll) para conectarse a las bases de datos». Por lo tanto, deberíamos ver que esta situación mejora este mes.
- Aplicaciones heredadas: si tiene una aplicación anterior (heredada) que puede estar usando clases de Windows ahora obsoletas, deberá ejecutar una prueba completa de la aplicación además de las pruebas de humo básicas.
Con todos estos escenarios de prueba más difíciles, recomendamos escanear su cartera de aplicaciones en busca de componentes de aplicaciones actualizados o dependencias a nivel del sistema. Este análisis debería proporcionar una lista corta de las aplicaciones afectadas, lo que debería reducir sus esfuerzos de prueba e implementación más adelante.
Actualización del ciclo de vida de Windows
Esta sección contendrá cambios importantes relacionados con el mantenimiento (y la mayoría de las actualizaciones de seguridad) de las plataformas de servidor y escritorio de Windows. Con Windows 10 21H2 ahora sin soporte general, tenemos las siguientes aplicaciones de Microsoft que llegarán al final del soporte general en 2023:
- Microsoft Endpoint Configuration Manager, versión 2107 (ahora tenemos Intune, así que está bien).
- Windows 10 Enterprise y Education, versión 20H2 (tenemos 5 meses para migrar, debería estar bien).
- Windows 10 Home y Pro, versión 21H2 (con fecha de vencimiento de junio de 2023).
- Soporte extendido para Exchange Server 2013 (11 de abril de 2023).
Cada mes, desglosamos el ciclo de lanzamiento en familias de productos (según lo define Microsoft) con las siguientes agrupaciones básicas:
- Navegadores (Microsoft IE y Edge)
- Microsoft Windows (escritorio y servidor)
- oficina de microsoft
- Servidor de Microsoft Exchange
- Plataformas de desarrollo de Microsoft (NETO Core, .NET Core y Chakra Core)
- Adobe (¿retirado? tal vez el próximo año)
Microsoft lanzó cinco actualizaciones para su navegador Chromium este mes, todas las cuales abordaron las vulnerabilidades relacionadas con la memoria «uso después del lanzamiento» en el motor Chromium. Puede encontrar la versión de Microsoft de estas notas de la versión aquí y las notas de la versión del canal de Google Desktop aquí. No hubo otras actualizaciones para los navegadores (o renderizadores) de Microsoft este mes. Agregue estas actualizaciones a su programa de lanzamiento de parches estándar.
las ventanas
Enero trae 10 actualizaciones críticas junto con 67 correcciones consideradas importantes para la plataforma Windows. Cubren los siguientes componentes clave:
- Servidor de autoridad de seguridad local de Microsoft (lsasrv)
- microsoft WDAC Proveedor OLE DB (y controlador ODBC) para SQL
- Motor de copia de seguridad de Windows
- Servicios criptográficos de Windows
- Informe de errores de Windows (NOSOTROS SOMOS)
- las ventanas LDAP – Protocolo ligero de acceso a directorios
En general, este es un parche enfocado en actualizar la red y la pila de autenticación local con algunas correcciones del ciclo de parches del mes pasado. Desafortunadamente, una vulnerabilidad (CVE-2023-21674) en una sección central del código de Windows (sal) ha sido denunciado públicamente. Microsoft describe este escenario como «un atacante que explotara con éxito esta vulnerabilidad podría obtener privilegios de SISTEMA». Gracias, Stivpor su arduo trabajo en este caso.
Nota: Todas las agencias federales de EE. UU. han recibido instrucciones de parchear esta vulnerabilidad a fines de enero como parte de CISA “orden operativo vinculante” (DBO).
Agregue esta actualización a su calendario de lanzamiento de «Patch Now».
oficina de microsoft
Microsoft solucionó un único problema crítico con SharePoint Server (CVE-2023-21743) y otras ocho vulnerabilidades de seguridad consideradas significativas por Microsoft que afectan a las aplicaciones de Visio y Office 365. Inicio con un clic versiones, que tiene un perfil de implementación y prueba mucho más bajo. Agregue estas actualizaciones de Microsoft Office a su programa de implementación estándar.
Servidor de Microsoft Exchange
Para esta versión del parche de enero para Microsoft Exchange Server, Microsoft entregó cinco actualizaciones, todas las cuales se consideraron importantes para las versiones de 2016 y 2019:
- CVE-2023-21745: Vulnerabilidad de suplantación de identidad de Microsoft Exchange Server
- CVE-2023-21761: vulnerabilidad de divulgación de información de Microsoft Exchange Server
- CVE-2023-21762: Vulnerabilidad de suplantación de identidad de Microsoft Exchange Server
- CVE-2023-21763: Vulnerabilidad de elevación de privilegios de Microsoft Exchange Server
- CVE-2023-21764: Vulnerabilidad de elevación de privilegios de Microsoft Exchange Server
Ninguna de estas vulnerabilidades se hace pública, no se informa que se explote en la naturaleza o se ha documentado que conduzca a la ejecución de código arbitrario. Con estos pocos problemas de seguridad de bajo riesgo, le recomendamos que se tome su tiempo para probar y actualizar cada servidor. Una cosa a tener en cuenta es que Microsoft ha introducido una nueva característica (Firma de certificados de PowerShell) en esta versión de «corrección», que puede requerir pruebas adicionales. Agregue estas actualizaciones de Exchange Server a su programa de lanzamiento de servidor estándar.
Plataformas de desarrollo de Microsoft
Microsoft ha lanzado dos actualizaciones a su plataforma de desarrollo (CVE-2023-21779 Y CVE-2023-21538) que afectan a Visual y Microsoft .NET 6.0. Microsoft considera que ambas actualizaciones son importantes y se pueden agregar a su programa de lanzamiento estándar.
Adobe Reader
Las actualizaciones para Adobe Reader están de vuelta este mes, aunque Microsoft no ha lanzado los últimos parches. La última serie de actualizaciones (APSB 23-01) solucionó ocho problemas críticos de memoria y siete actualizaciones importantes, la peor de las cuales podría conducir a la ejecución de código arbitrario en este sistema sin parches. Con un precio por encima de la media CVSS (7.8), recomendamos agregar esta actualización a su ciclo de lanzamiento «Patch Now».
