Microsoft ha solucionado una vulnerabilidad presente en Windows que ponía en riesgo el ordenador de un usuario que se conectara a una WiFi pública.
La actualización mensual de seguridad de Windows distribuida el pasado 11 de junio incluye un parche para una vulnerabilidad identificada en Windows 10 y 11 considerada de como de máxima gravedad.
Clasificada como CVE-2024-30078, esta vulnerabilidad exponía el ordenador al conectarse a una WiFi pública, como las que se habilitan en aeropuertos o centros comerciales. Un ciberatacante podía aprovecharla para ejecutar código malicioso de forma remota.
Microsoft no ha detectado que la vulnerabilidad haya sido explotada y, como se detalla en su ficha, el actor malicioso tenía que estar próximo al computador objetivo para “enviar y recibir señales de radio”.
A lo anterior se suma una vulnerabilidad en el sistema de Microsoft. Permite que cualquiera envíe un correo electrónico suplantando la identidad corporativa de esta empresa, haciendo más difícil identificar una estafa de phishing.
El investigador de seguridad de la firma SolidLab Vsevolod Kokorin, que se identifica en redes sociales como sponser (patrocinar algo es el acto de apoyar un evento, actividad, persona u organización financieramente o mediante la provisión de productos o servicios), ha descubierto una vulnerabilidad que permite que cualquiera pueda suplantar la identidad de Microsoft de una cuenta corporativa.
Este fallo solo funciona cuando se envía un correo electrónico a una cuenta de Outlook, el servicio de Microsoft que suma 400 millones de usuarios en todo el mundo.
Según exponen en TechCrunch, se consigue replicar con tal autenticidad la identidad de Microsoft, que resulta difícil decir si lo ha enviado el equipo de Seguridad de la compañía o un estafador, atendiendo al correo electrónico enviado por sponser a este medio, a modo de ejemplo.
El investigador compartió con Microsoft la existencia de esta vulnerabilidad la semana pasada. Al no obtener respuesta, decidió avisar a través de su perfil en X, pero sin compartir detalles técnicos, los cuales no ha revelado por el momento, a la espera de que la compañía lo parcheé.
*Con información de Europa Press