Este martes de parches de marzo 2025, Microsoft ha publicado actualizaciones de seguridad que corrigen 57 vulnerabilidades, incluyendo siete fallas de día cero, seis de ellas explotadas activamente.
Se han solucionado seis vulnerabilidades “críticas”, todas relacionadas con la ejecución remota de código.
A continuación, se muestra la distribución de los errores corregidos:
- 23 vulnerabilidades de elevación de privilegios
- 3 vulnerabilidades de omisión de características de seguridad
- 23 vulnerabilidades de ejecución remota de código
- 4 vulnerabilidades de divulgación de información
- 1 vulnerabilidad de denegación de servicio
- 3 vulnerabilidades de suplantación de identidad (spoofing)
Estos números no incluyen fallos en Mariner ni las 10 vulnerabilidades de Microsoft Edge corregidas previamente este mes.
Siete vulnerabilidades de día cero
Este Patch Tuesday resuelve siete fallas de día cero, seis de ellas explotadas activamente y una expuesta públicamente.
Microsoft define una vulnerabilidad de día cero como aquella que ha sido divulgada públicamente o explotada sin que exista aún una solución oficial.
Algunas de estas fallas están relacionadas con errores en Windows NTFS que afectan el montaje de unidades VHD.
Vulnerabilidades explotadas activamente:
- CVE-2025-24983 – Elevación de privilegios en Windows Win32 Kernel Subsystem. Permite a atacantes locales obtener privilegios SYSTEM tras provocar una condición de carrera.
- CVE-2025-24984 – Divulgación de información en Windows NTFS. Puede ser explotada con acceso físico al dispositivo mediante una unidad USB maliciosa.
- CVE-2025-24985 – Ejecución remota de código en el controlador Windows Fast FAT. Un atacante podría engañar a un usuario para montar un VHD malicioso.
- CVE-2025-24991 – Divulgación de información en Windows NTFS. Permite leer pequeñas porciones de memoria en montón si se monta un archivo VHD malicioso.
- CVE-2025-24993 – Ejecución remota de código en Windows NTFS. Causada por un desbordamiento de búfer en la memoria dinámica al montar un VHD malicioso.
- CVE-2025-26633 – Omisión de seguridad en Microsoft Management Console. Un atacante podría engañar a un usuario para ejecutar archivos maliciosos con la extensión .msc.
Vulnerabilidad divulgada públicamente:
- CVE-2025-26630 – Ejecución remota de código en Microsoft Access. Se explota engañando a un usuario para que abra un archivo de Access modificado, aunque no puede activarse desde el panel de vista previa.
Otras actualizaciones de seguridad en marzo 2025
Además de Microsoft, otras empresas han lanzado parches de seguridad:
- Broadcom: Corrige tres fallas de día cero en VMware ESXi utilizadas en ataques.
- Cisco: Corrige una vulnerabilidad en WebEx que podría filtrar credenciales y fallas críticas en enrutadores Small Business.
- Google: Soluciona un fallo de día cero en el kernel de Linux de Android que permitía desbloquear dispositivos.
- Fortinet: Publica parches para FortiManager, FortiOS, FortiAnalyzer y FortiSandbox.
- SAP, Ivanti y Paragon: Implementan diversas actualizaciones de seguridad.
Fuente: www.bleepingcomputer.com
