El Patch Tuesday de este mes incluye nueve boletines de seguridad, cinco de los cuales están clasificados como críticos. Vemos un número menor de parches porque, según Michael Gray, Vicepresidente de Tecnología de Thrive Networks, «Microsoft puede haber mantenido las cosas simples para no eclipsar el lanzamiento de su actualización del Aniversario de Windows 10».
Crítico
Dos de los arreglos mensuales acumulativos son para Internet Explorer (MS16-095) y Microsoft Edge (MS16-096). El primero resuelve cinco vulnerabilidades de corrupción de memoria y cuatro fallas de divulgación de información, mientras que el primero corrige ocho errores (cuatro fallas de corrupción de memoria, tres agujeros de divulgación de información y una vulnerabilidad de Microsoft PDF RCE).
La tercera solución crítica es MS16-097 y es una actualización de seguridad que aborda las vulnerabilidades de RCE en el componente gráfico de Microsoft. MS16-099 corrige tres vulnerabilidades de corrupción de memoria de Office, un error de divulgación de información de Microsoft OneNote y una vulnerabilidad de corrupción de memoria de componentes gráficos. Por último, MS16-102 corrige un fallo RCE en la biblioteca PDF de Microsoft Windows y el ingeniero de software principal de Core Security, Jon Rudolph, ha explicado que es importante estar atento a CVE-2016-3319, también conocido como «Microsoft PDF Remote Code Execution Vulnerability».
Importante
De acuerdo con el registro de cambios, el MS16-098 corrige cuatro elevaciones de vulnerabilidades de privilegios en los controladores del modo kernel de Windows; el MS16-100 se deshace de un fallo de seguridad en el arranque seguro de Windows que permitiría a los atacantes desactivar las comprobaciones de integridad de código y cargar ejecutables y controladores firmados por prueba en un dispositivo de destino. El tercer parche, MS16-101, corrige dos elevaciones de vulnerabilidades de privilegios: un fallo de Kerberos EoP y un fallo de Netlogon EoP.
En cuanto al MS16-103, este parche soluciona un fallo de divulgación de información en ActiveSyncProvider para Windows 10 y Windows 10 Versión 1511. Microsoft declaró que «la vulnerabilidad podría permitir la divulgación de información cuando Universal Outlook no establece una conexión segura», y añadió que «la actualización aborda la vulnerabilidad impidiendo que Universal Outlook revele nombres de usuario y contraseñas».