Perspectiva de Akamai sobre el Patch Tuesday de agosto de 2023

Vulnerabilidad notificada por un investigador de Akamai

CVE-2023-35384 — Plataformas HTML de Windows (CVSS 5.4)

A pesar de la baja gravedad asignada a esta vulnerabilidad, tiene unos antecedentes y unas consecuencias bastante interesantes. Ben Barnea la detectó durante su análisis del Patch Tuesday de mayo, y se solucionó este mes.

Inicialmente, Microsoft aplicó parches a la CVE-2023-2339‏7 , una vulnerabilidad crítica de escalada de privilegios (EoP) en Outlook que se había explotado libremente. Esta vulnerabilidad permitió a un atacante enviar a la víctima un correo electrónico, activar una conexión SMB a su propio servidor controlado por el atacante y, como resultado, interceptar (y posiblemente descifrar o retransmitir) credenciales NTLM. Se trataba de una vulnerabilidad sin clics que un atacante no autenticado podría aprovechar desde cualquier lugar de Internet.

La corrección de la vulnerabilidad CVE-2023-2339‏7 añadió una comprobación para clasificar una ruta como local, de la intranet, de Internet, etc. Esta comprobación se podría omitir proporcionando una ruta especialmente diseñada, como explicamos y demostramos en una anterior entrada de blog.

La vulnerabilidad de este mes, CVE-2023-35384 , es otra omisión de la corrección de Microsoft. ¿Muy confuso? Vamos por orden:

Estamos planeando compartir los detalles de la vulnerabilidad CVE-2023-35384 y demostrar su explotación de una manera sorprendente, así que esté atento a la publicación.

Vulnerabilidad explotada libremente

CVE-2023-38180 — .NET Core y Visual Studio (CVSS 7.5)

Se trata de una vulnerabilidad de DoS, pero no hay notas, preguntas frecuentes ni confirmaciones publicadas con esta CVE. Por lo tanto, es casi imposible especular sobre su causa raíz. Sin embargo, dado que el vector de ataque es la red, tenemos algunas pistas. Exención de responsabilidad: El párrafo siguiente es puramente especulativo.

Según los resultados de nuestras pruebas en instancias instaladas localmente de Visual Studio, este CVE no parece estar escuchando conexiones entrantes (aunque vimos conexiones salientes de su proceso). Por lo tanto, es más probable que el vector de ataque no se consiga si los atacantes se dirigen directamente al proceso a través de la red, sino mediante el envío de un archivo de diseño malicioso a la víctima, que bloquea su instancia de Visual Studio y .NET Core.

Microsoft Message Queuing

Hay 11 vulnerabilidades en el servicio Microsoft Message Queuing (MSMQ) a las que se han aplicado parches este mes. Tres vulnerabilidades críticas de ejecución remota de código (RCE) con una puntuación de 9,8, seis vulnerabilidades de DoS y dos vulnerabilidades de divulgación de información. 

El servicio MSMQ es una característica opcional en Windows que se utiliza para entregar mensajes entre diferentes aplicaciones. A pesar de ser opcional, muchas aplicaciones empresariales para Windows, como Microsoft Exchange Server, lo utilizan en segundo plano. En nuestras observaciones, encontramos el servicio instalado en casi el 69 % de los entornos, normalmente en más de un equipo.

Dado que el servicio MSMQ es accesible a través del puerto 1801, pero no debería haber tantos clientes con acceso a él (ya que la propia aplicación empresarial lo utiliza principalmente), recomendamos restringir el acceso arbitrario a la red a ese puerto y servicio. Intente segmentarlo mediante políticas de lista de autorización, permitiendo el acceso solo a los equipos que realmente lo necesiten. Para obtener ayuda con la segmentación, puede consultar nuestra entrada de blog La segmentación (microsegmentación) desde una perspectiva práctica (específicamente, las secciones Acordonamiento de aplicaciones y Microsegmentación ).

Microsoft Exchange Server

Este mes había seis CVE en Microsoft Exchange Server: cuatro de ellas permiten la ejecución remota de código en el servidor remoto y las otras dos son vulnerabilidades de EoP o de suplantación. En nuestras observaciones, hemos visto que aproximadamente el 28 % de los entornos tenían servidores Microsoft Exchange Servers en las instalaciones.

La CVE de EoP, CVE-2023-21709, es en realidad la CVE con la puntuación del CVSS más alta (9,8) a pesar de estar categorizada como de gravedad "importante", no "crítica". Según Microsoft, la vulnerabilidad podría permitir a los atacantes robar la contraseña de un usuario de Exchange mediante la fuerza bruta e iniciar sesión como ese usuario. La asignación de gravedad "importante" se debe al hecho de que los ataques de fuerza bruta no deberían funcionar contra usuarios con contraseñas complejas. 

Para esta CVE, la aplicación del parche no es suficiente. Microsoft proporciona un script adicional, CVE-2023-21709.ps1, que los administradores deben ejecutar después de instalar el parche. Como alternativa, funcionará el siguiente comando:

Microsoft también menciona que la ejecución del script (o el comando anterior) puede solucionar la vulnerabilidad en lugar de la aplicación del parche, pero ellos (y nosotros) recomendamos encarecidamente la aplicación del parche lo antes posible.

Servicios tratados anteriormente

Muchas CVE en el Patch Tuesday de este mes son para sistemas que ya hemos cubierto en el pasado. Si tiene interés en nuestro análisis o nuestras recomendaciones generales sobre esos servicios, le animamos a que consulte nuestras publicaciones anteriores, relativas a nuestras perspectivas sobre el Patch Tuesday en nuestro blog.