Microsoft publica 14 boletines de seguridad y soluciona 68 vulnerabilidades, incluidos dos 0-day

Este martes Microsoft ha publicado 14 boletines de seguridad (del MS16-129 al MS16-142) correspondientes a su ciclo habitual de actualizaciones.

Según la propia clasificación de Microsoft seis
de los boletines presentan un nivel de gravedad “crítico” mientras
que los ocho restantes son “importantes”. En total se han solucionado
68 vulnerabilidades (algunas de ellas en varios productos). También
se han solucionado dos 0-days incluido el reciente anunciado por Google.
Además se han corregido otras nueve vulnerabilidades adicionales en
Flash Player.

Los boletines publicados son los siguientes:

MS16-142: La habitual actualización acumulativa para Microsoft Internet
Explorer que además soluciona siete nuevas vulnerabilidades. La más
grave de ellas podría permitir la ejecución remota de código si un
usuario visita, con Internet Explorer, una página web especialmente
creada (CVE-2016-7195, CVE-2016-7196, CVE-2016-7198, CVE-2016-7199,
CVE-2016-7227, CVE-2016-7239 y CVE-2016-7241)

MS16-129: Boletín “crítico” que incluye la también habitual
actualización acumulativa para Microsoft Edge, el navegador incluido en
Windows 10. En esta ocasión se solucionan 17 vulnerabilidades, la más
grave de ellas podría permitir la ejecución remota de código si un
usuario visita, con Microsoft Edge, una página web especialmente creada
(CVE-2016-7195, CVE-2016-7196, CVE-2016-7198 al CVE-2016-7204,
CVE-2016-7208, CVE-2016-7209, CVE-2016-7227, CVE-2016-7239 al
CVE-2016-7243).

MS16-130: Actualización considerada “crítica” destinada a corregir tres
vulnerabilidades en diferentes componentes de Windows. La más grave
podría permitir la ejecución remota de código arbitrario (CVE-2016-7221,
CVE-2016-7222 y CVE-2016-7212).

MS16-131: Boletín “crítico” que resuelve una vulnerabilidad
(CVE-2016-7248) en Microsoft Windows que podría permitir la ejecución
remota de código si Microsoft Video Control falla al tratar
adecuadamente objetos en memoria.

MS16-132: Boletín “crítico” destinado a corregir cuatro vulnerabilidades
en Microsoft Graphics Component, que podrían permitir la ejecución
remota de código si se abre un documento o web específicamente creada.
Una de ellas se está explotando de forma activa en la actualidad.
(CVE-2016-7210, CVE-2016-7205, CVE-2016-7217 y CVE-2016-7256).

MS16-133: Boletín “importante” que soluciona seis vulnerabilidades, la
más grave de ellas que podría permitir la ejecución remota de código si
se abre un archivo específicamente creado con Microsoft Office
(CVE-2016-7213, CVE-2016-7228, CVE-2016-7229, CVE-2016-7230,
CVE-2016-7231 y CVE-2016-7232).

MS16-134: Destinado a corregir 10 vulnerabilidades de gravedad
“importante”, que podrían permitir la elevación de privilegios cuando el
controlador Windows Common Log File System (CLFS) trata objetos en
memoria de forma inadecuada (CVE-2016-0026, CVE-2016-3332,
CVE-2016-3333, CVE-2016-3334, CVE-2016-3335, CVE-2016-3338,
CVE-2016-3340, CVE-2016-3342, CVE-2016-3343 y CVE-2016-7184).

MS16-135: Boletín de carácter “importante” destinado a corregir cinco
vulnerabilidades en el controlador modo kernel de Windows que podrían
permitir la elevación de privilegios si un usuario ejecuta una
aplicación específicamente creada. Está actualización corrige la
vulnerabilidad 0day anunciada recientemente por Google y que ya
comentamos anteriormente en una-al-día (CVE-2016-7214, CVE-2016-7215,
CVE- 2016-7218, CVE-2016-7246 y CVE-2016-7255). Afecta a Windows Vista,
Windows Server 2008, Windows 7, Windows 8.1, Windows Server 2012 y
Windows 10.

MS16-136: Actualización considerada “importante” destinada a corregir
seis vulnerabilidades en Microsoft SQL Server. La más grave podría
permitir a un atacante elevar sus privilegios para visualizar, cambiar o
borrar datos o crear nuevas cuentas (CVE-2016-7249, CVE-2016-7250,
CVE-2016-7254, CVE-2016-7251, CVE-2016-7252 y CVE-2016-7253).

MS16-137: Boletín considerado “importante” que resuelve tres
vulnerabilidades en Microsoft Windows. La más grave podría permitir a un
atacante elevar sus privilegios mediante la manipulación de solicitudes
de cambio de contraseña NTLM (CVE-2016-7220, CVE-2016-7237 y
CVE-2016-7238).

MS16-138: Destinado a corregir cuatro vulnerabilidades “importantes”
debido a que Windows Virtual Hard Disk Driver trata inadecuadamente el
acceso del usuario a determinados archivos. Un atacante podría manipular
archivos en localizaciones para las que no debería tener acceso
(CVE-2016-7223, CVE-2016-7224, CVE-2016-7225 y CVE-2016-7226).

MS16-139: Boletín considerado “importante” que resuelve una
vulnerabilidad de elevación de privilegios en el kernel de Windows
(CVE-2016-7216).

MS16-140: Boletín “importante” que resuelve una vulnerabilidad
(CVE-2016-7247) que podría permitir evitar funciones de seguridad del
Boot Manager. Afecta a Windows 8.1, Windows Server 2012, Windows 10 y
Windows Server 2016.

MS16-141: Como ya es habitual, Microsoft publica un boletín para
resolver las vulnerabilidades solucionadas por Adobe en Flash Player en
su también boletín periódico. Se trata de un boletín “crítico” que en
esta ocasión soluciona nueve vulnerabilidades en Adobe Flash Player
instalado en Windows Server 2012, Windows Server 2016, Windows 8.1 y
Windows 10; correspondientes al boletín APSB16-37 de Adobe.

Las actualizaciones publicadas pueden descargarse a través de Windows
Update o consultando los boletines de Microsoft donde se incluyen las
direcciones de descarga directa de cada parche. Se recomienda la
actualización de los sistemas con la mayor brevedad posible.

Ver información original en Fuente:
http://unaaldia.hispasec.com/2016/11/microsoft-publica-14-boletines-de.html