 |
||
| ALERTA | ||
Vulnerabilidades de ejecución remota de código en la librería de códecs de WindowsFecha de publicación: 02/07/2020 Nivel de peligrosidad: CRÍTICA y ALTA El Equipo de Respuesta a Incidentes del Centro Criptológico Nacional, CCN-CERT, avisa de la publicación por parte de Microsoft, al margen de su bolentín mensual, de dos vulnerabilidades en Windows, una de ellas crítica. Se trata de dos vulnerabilidades de ejecución remota de código en la librería de códecs de Microsoft Windows. Identificados como CVE-2020-1425 y CVE-2020-1457, los dos errores únicamente afectan a las distribuciones de Windows 10 y Windows Server 2019. Según Microsoft, los dos fallos pueden explotarse mediante archivos de imagen especialmente diseñados que, si se abren dentro de aplicaciones que utilizan la librería de códecs de Windows, cuya función es manejar contenido multimedia, un atacante podría ejecutar código dañino en un equipo y obtener el control total sobre el mismo. A continuación, se detallan los dos CVE asignados a las vulnerabilidades:
Por el momento no se conocen ni se han hecho públicos más detalles técnicos sobre estas vulnerabilidades y la base de datos del NIST tampoco ha registrado los CVE con sus correspondientes criticidades. No obstante, Microsoft ha calificado ambas vulnerabilidades con un score de 7.3 (CVSSv3.0). Hasta la fecha tampoco se tiene conocimiento sobre actividad dañina en la red, ni exploits que aprovechen estas vulnerabilidades. Recursos afectados:
Solución a las vulnerabilidades: Tal y como ha indicado Microsoft en sus avisos, no existe ninguna medida de mitigación y los sistemas afectados serán actualizados de forma automática a través de Microsoft Store. De forma alternativa, los usuarios que precisen recibir la actualización de inmediato pueden buscar las actualizaciones manualmente a través de la aplicación Microsoft Store. Toda la información necesaria para realizar este proceso se encuentra disponible en el siguiente enlace: Recomendaciones: Se recomienda encarecidamente a los usuarios y administradores de sistemas que apliquen los parches de seguridad en cuanto se encuentren disponibles, con el fin de evitar la exposición a ataques externos y la toma de control de los sistemas informáticos. Referencias:
Atentamente, Equipo CCN-CERT ////////////////////////////////////////////////////////////////////////////////////////// El CCN-CERT (www.ccn-cert.cni.es) es la Capacidad de Respuesta a Incidentes de Seguridad de la Información del Centro Criptológico Nacional, CCN (www.ccn.cni.es), adscrito al Centro Nacional de Inteligencia, CNI. Este servicio se creó en el año 2006 como CERT Gubernamental Nacional español y sus funciones quedan recogidas en la Ley 11/2002 reguladora del CNI, el RD 421/2004 de regulación del CCN y en el RD 3/2010, de 8 de enero, regulador del Esquema Nacional de Seguridad (ENS), modificado por el RD 951/2015 de 23 de octubre. Su misión, por tanto, es contribuir a la mejora de la ciberseguridad española, siendo el centro de alerta y respuesta nacional que coopere y ayude a responder de forma rápida y eficiente a los ciberataques y a afrontar de forma activa las ciberamenazas, incluyendo la coordinación a nivel público estatal de las distintas Capacidades de Respuesta a Incidentes o Centros de Operaciones de Ciberseguridad existentes. Todo ello, con el fin último de conseguir un ciberespacio más seguro y confiable, preservando la información clasificada (tal y como recoge el art. 4. F de la Ley 11/2002) y la información sensible, defendiendo el Patrimonio Tecnológico español, formando al personal experto, aplicando políticas y procedimientos de seguridad y empleando y desarrollando las tecnologías más adecuadas a este fin. De acuerdo a esta normativa y la Ley 40/2015 de Régimen Jurídico del Sector Público es competencia del CCN-CERT la gestión de ciberincidentes que afecten a cualquier organismo o empresa pública. En el caso de operadores críticos del sector público la gestión de ciberincidentes se realizará por el CCN-CERT en coordinación con el CNPIC. Claves PGP Públicas ///////////////////////////////////////////////////////////////////////////////////////// POLÍTICA DE PRIVACIDAD: Nos pondremos en contacto con usted cuando dispongamos de información que consideremos que le pueda ser de interés, informándole de contenidos, servicios, eventos, avisos de seguridad o, si procede, gestionar y atender sus solicitudes de información. Puede encontrar la nueva información y política de privacidad del Centro Criptológico Nacional haciendo click AQUÍ. Por favor, consulte esta información y no dude en ponerse en contacto con nosotros para cualquier aclaración enviándonos un email a ////////////////////////////////////////////////////////////////////////////////////////// AVISO DE CONFIDENCIALIDAD: |
||
| © 2020 Centro Criptológico Nacional, Argentona 30, 28023 MADRID | ||
