En el paquete de actualizaciones de octubre Microsoft reparó 87 vulnerabilidades en productos de la compañía, de las cuales 11 fueron categorizadas como críticas de acuerdo con su severidad, 75 como importantes y una moderada. Este mes la cantidad total de vulnerabilidades bajó considerablemente en comparación con el paquete de septiembre, cuando se mitigaron un total de 129 fallos.

Dentro de las 87 vulnerabilidades reparadas, 21 corresponden a vulnerabilidades de ejecución remota de código (RCE) en productos como Excel o Outlook. Por otra parte, tal como explican varios medios, la CVE-2020-16898 es la más más grave de esta actualización. Se trata de una vulnerabilidad de RCE en el stack de TCP/IP que existe cuando manipula de manera indebida paquetes de Anuncio de Router ICMPv6 especialmente diseñados. En este sentido, un atacante que logre explotar el fallo podrá ejecutar de manera remota comandos en la computadora seleccionada como blanco de ataque.

Los sistemas vulnerables a la CVE-2020-16898 incluyen Windows 10 y Windows Server 2019. Por otra parte, si bien lo más recomendado para corregir este fallo es instalar el parche, otra forma de mitigación posible es deshabilitar ICMPv6 RDNSS. Para ello, Microsoft proporcionó como workaround un comando de PowerShell que no requiere reiniciar una vez aplicados los cambios.

Otra de las vulnerabilidades críticas reparadas en octubre es la CVE-2020-16947, también de RCE, pero en este caso presente en Microsoft Outlook. Según explica la compañía, para explotar este fallo un atacante puede enviar un correo que contenga un archivo especialmente diseñado y convencer al usuario de que lo abra, mientras que en un escenario de ataque web el atacante puede convencer al usuario que visite una URL maliciosa que aloje un archivo que permita explotar la vulnerabilidad.

Las restantes vulnerabilidades críticas, todas de ejecución remota de código, son las siguientes:

Para más información sobre el paquete de actualizaciones de Microsoft para octubre, visite el sitio oficial.