Perspectiva de Akamai sobre el Patch Tuesday de julio de 2023

CVE-2023-32046 — Plataforma MSHTML de Windows (CVSS 7.8)

Esta vulnerabilidad de la plataforma MSHTML puede permitir que los atacantes obtengan los privilegios del usuario víctima del ataque. MSHTML es el motor del navegador de Microsoft, y las notas del parche mencionan que el usuario tiene que abrir un archivo especialmente diseñado, o navegar a un sitio web malicioso que alberga ese archivo, de modo que probablemente se trata de algún tipo de recurso web: un archivo HTML o JavaScript. Independientemente de esto, la vulnerabilidad requiere que los usuarios respondan a algún tipo de ingeniería social y abran el archivo malicioso. Hay dos CVE con parches más en MSHTML este mes (de las que no hay constancia de que estén explotadas libremente). Puede obtener más información sobre ellas a continuación en esta publicación.

CVE-2023-32049 — Windows SmartScreen (CVSS 8.8)

Se trata de una vulnerabilidad de omisión de seguridad, que ignora la advertencia de seguridad de SmartScreen al abrir archivos descargados de Internet o que no son seguros. No es la primera vez que los atacantes explotan activamente las vulnerabilidades de omisión de SmartScreen. Threat Analysis Group de Google (Google TAG) ha detectado y notificado que el ransomware Magniber utilizó una vulnerabilidad similar en el pasado.

CVE-2023-36874 — Windows Error Reporting Service (CVSS 7.8)

Se trata de una vulnerabilidad de elevación de privilegios que requiere que los atacantes ya tengan acceso local a la máquina. Según las notas, los atacantes tienen que poder crear carpetas y trazas de rendimiento en la máquina local, lo que requiere unos privilegios de usuario restringidos que no suelen estar disponibles. Esta CVE también la ha notificado Google TAG.

CVE-2023-35311 — Microsoft Outlook (CVSS 8.8)

Se trata de otra vulnerabilidad de omisión de seguridad, esta vez en Outlook. Esta vulnerabilidad permite que los atacantes ignoren el aviso de seguridad de Outlook al hacer clic en hipervínculos.

CVE-2023-36884 — HTML en Office y Windows (CVSS 8.3)

El 11 de julio, Microsoft publicó un aviso sobre una vulnerabilidad de ejecución remota de código que se está explotando libre y activamente. Esta vulnerabilidad afecta a varios productos de Microsoft y consiste en atraer a las víctimas para que abran documentos maliciosos.

La vulnerabilidad está siendo explotada por el atacante RomCom en campañas de phishing, como en una dirigida a los asistentes a la reciente cumbre de la OTAN en Lituania. La vulnerabilidad no tiene corrección de momento, pero sí que existen varias mitigaciones .

Plataforma MSHTML de Windows

MSHTML es un cargador de sitios web para el sistema operativo Windows. Expone una interfaz COM para permitir que los programas añadan funciones de carga web. También lo usan Internet Explorer y el modo de Internet Explorer de Microsoft Edge. Además de la vulnerabilidad de escalada de privilegios que se encuentra en circulación (consulte la sección de vulnerabilidades en circulación), hay dos vulnerabilidades de omisión de seguridad más: CVE-2023-35336 y CVE-2023-35308. Por lo que se dice en las notas sobre las dos vulnerabilidades, parece que MSHTML no consigue validar la zona de seguridad correctamente en URL específicas; por ejemplo, puede confundir una URL externa con una local. Las zonas de seguridad no son nuevas para nosotros, ya que incluso Ben Barnea encontró una vulnerabilidad similar en MapUrlToZone, que es la función que se suele usar para determinar si una URL es una ruta de Internet, local (a la máquina/red), etc.

Windows Routing and Remote Access Service (RRAS)

Routing and Remote Access Service (RRAS) es un servicio de Windows que permite que el sistema operativo se comporte como un enrutador, permitiendo las conexiones sitio a sitio mediante VPN o conexión telefónica. Hay tres vulnerabilidades críticas en este servicio este mes, todas con una puntuación de CVSS alta de 9,8. Las notas del parche no nos dicen mucho, excepto que los paquetes especialmente diseñados enviados al servidor pueden activar la ejecución remota de código.

RRAS no está disponible en todos los servidores de Windows, sino que viene como parte de la función de acceso remoto y tiene que estar instalado a propósito. En nuestras observaciones, hemos visto que aproximadamente el 15 % de los entornos supervisados tienen servidores de Windows con la función de acceso remoto instalada.

Tiempo de ejecución de llamada a procedimiento remoto

Hay 14 CVE distintas de tiempo de ejecución de RPC con parches este mes, la mayoría por atacantes de denegación de servicio. Solo una CVE (CVE-2023-35300) puede obtener la ejecución remota de código, y las notas del parche no nos dicen mucho más. Al revertir el parche, vemos que el equipo de Microsoft Offensive Research & Security Engineering (MORSE) parece haber trabajado mucho en el motor de reversión de conversión de NDR. Tenemos mucho material sobre MS-RPC, de modo que, si desea saber más, puede encontrar varios enlaces a artículos útiles en nuestro kit de herramientas de RPC.