Para o mês de novembro, a Microsoft lança mais de 70 correções, incluindo para uma falha no Internet Explorer (CVE-2019-1429), que tem sido ativamente explorada
A falha do Internet Explorer tem a ver com a corrupção do motor de scripting, que afeta as versões 9,10 e 11 do navegador. Segundo o próprio advisory da Microsoft, o atacante, decorrente a forma como o motor estava a processar objetos na memória, podia executar código arbitrário no contexto do utilizador corrente; caso fosse bem-sucedido na exploração desta forma, ganhava os mesmos privilégios que o utilizador (o mesmo caso para o administrador). Esta falha podia ser explorada convencendo a vítima a visitar um website especialmente criado através de certas versões do navegador ou mesmo através da abertura de um documento do Office alterado.
Em geral, o patch de Novembro lança correções para os produtos:
Microsoft Windows,
Internet Explorer (IE),
Microsoft Edge (EdgeHTML-based),
ChakraCore,
Office and Office Services and Web Apps,
Open Source Software,
Exchange Server, and
Visual Studio.
No total, são 74 as falhas corrigidas, 13 classificadas como críticas e 61 dadas como importantes.
Além da falha crítica a ser explorada "in the wild" a Microsoft corrigiu uma falha no Microsoft Exchange, dada pelo CVE-2019-1373, e que residia na deserialização de metadados via Powershell. O atacante podia explorar esta falha convencendo a vítima correr cmdlets através do Powershell.
Finalmente, também a nível de execução de código remota, as falhas do Hyper-V também são corrigidas, tendo consistido em cinco casos separados, em que cada um podia levar o utilizador no sistema operativo em guest executar código no sistema principal
Site oficial: https://portal.msrc.microsoft.com/en-us/security-guidance
