Il punto di vista di Akamai sulla Patch Tuesday di agosto 2023

Vulnerabilità segnalate da un ricercatore Akamai

CVE-2023-35384 - Piattaforme HTML Windows (CVSS 5.4)

Nonostante la bassa gravità assegnata a questa vulnerabilità, il suo background e le sue conseguenze sono piuttosto interessanti. Ben Barnea l'ha scoperta durante la sua analisi del Patch Tuesday di maggio ed è stata risolta questo mese.

Inizialmente, Microsoft aveva rilasciato le patch per CVE-2023-2339‏7 , una vulnerabilità critica di elevazione dei privilegi (EoP) in Outlook, che era stata sfruttata in rete. Questa vulnerabilità consentiva a un criminale di inviare alla vittima un messaggio di posta elettronica, attivare una connessione SMB con il proprio server controllato e, di conseguenza, intercettare (e possibilmente decifrare o inoltrare) le credenziali NTLM. Si trattava di una vulnerabilità che poteva essere sfruttata facilmente da un criminale non autenticato da qualsiasi punto di Internet.

La correzione per CVE-2023-23397 ha aggiunto un controllo per classificare un percorso come locale, intranet, Internet, ecc. Questo controllo può essere aggirato fornendo un percorso appositamente creato, come abbiamo spiegato e dimostrato in un blog precedente.

La vulnerabilità CVE-2023-35384 di questo mese è un altro aggiramento della correzione di Microsoft. Siete confusi? Mettiamo le cose in ordine:

Stiamo progettando di condividere i dettagli per della CVE-2023-35384 e di dimostrarne lo sfruttamento in modo sorprendente, quindi tenete d'occhio la pubblicazione.

Vulnerabilità sfruttata in rete

CVE-2023-38180 - .NET Core e Visual Studio (CVSS 7.5)

Si tratta di una vulnerabilità DoS, ma non ci sono note, domande frequenti o riconoscimenti rilasciati con questa CVE. Pertanto, è quasi impossibile ipotizzarne la causa principale. Tuttavia, poiché il vettore di attacco è la rete, abbiamo alcuni indizi. Esclusione di responsabilità: il seguente paragrafo è puramente speculativo.

Secondo i risultati dei nostri test su istanze di Visual Studio installate localmente, questa CVE non sembra essere in ascolto di connessioni in entrata (anche se abbiamo visto connessioni in uscita dal suo processo). Pertanto, è più probabile che il vettore di attacco non venga ottenuto dai criminali raggiungendo direttamente il processo attraverso la rete, ma piuttosto inviando un file pericoloso alla vittima, che arresta in modo anomalo la sua istanza di Visual Studio e .NET Core.

Accodamento messaggi Microsoft

C'erano 11 vulnerabilità nel servizio Accodamento messaggi Microsoft (MSMQ) corrette questo mese. Tre vulnerabilità RCE (Remote Code Execution) critiche con punteggio 9.8, sei vulnerabilità DoS e due vulnerabilità di divulgazione delle informazioni. 

Il servizio MSMQ è una funzionalità opzionale in Windows che viene utilizzata per il recapito di messaggi tra diverse applicazioni. Pur essendo opzionale, viene utilizzata in background da molte applicazioni aziendali per Windows, come Microsoft Exchange Server. Da quanto abbiamo osservato, è emerso che il servizio è stato installato in quasi il 69% degli ambienti, solitamente su più di un computer.

Poiché il servizio MSMQ è accessibile tramite la porta 1801, ma non molti client dovrebbero effettuare l'accesso (In quanto viene utilizzato principalmente dall'applicazione aziendale stessa), consigliamo di limitare l'accesso di rete arbitrario a tale porta e a questo servizio. Provate a segmentarlo utilizzando policy di elenchi di elementi consentiti, consentendo l'accesso solo ai computer che ne hanno effettivamente bisogno. Per assistenza con la segmentazione, potete fare riferimento al nostro post del blog (Micro) segmentazione da un punto di vista pratico (in modo specifico alle sezioni relative a isolamento delle applicazioni e microsegmentazione .

Microsoft Exchange Server

Questo mese sono state riscontrate sei CVE in Microsoft Exchange Server: quattro di esse consentono l'esecuzione di codice remoto sul server remoto, mentre le altre due sono vulnerabilità EoP o di tipo spoofing. Nelle nostre osservazioni, abbiamo visto che in circa il 28% degli ambienti erano presenti server Microsoft Exchange locali.

La CVE EoP, CVE-2023-21709, è in effetti la CVE con il punteggio CVSS più alto (9,8) nonostante sia classificata come gravità "Importante" e non "Critica". Secondo Microsoft, la vulnerabilità potrebbe consentire ai criminali di forzare la password di un utente Exchange e accedere come tale. La gravità Importante è dovuta al fatto che gli attacchi di forza bruta non dovrebbero funzionare contro utenti con password complesse. 

Per questa CVE, la sola applicazione patch non è sufficiente. Microsoft fornisce uno script aggiuntivo, CVE-2023-21709, che gli amministratori devono eseguire dopo aver installato la patch. In alternativa, dovrebbe funzionare il seguente comando:

Microsoft indica anche che l'esecuzione dello script (o del comando precedente) può risolvere la vulnerabilità al posto della patch, ma raccomanda vivamente (e lo facciamo anche noi) di applicare la patch il prima possibile.

Servizi descritti in precedenza

Molte CVE presenti nella Patch Tuesday di questo mese riguardano sistemi che abbiamo già esaminato in passato. Se siete interessati alla nostra analisi o alle raccomandazioni generali per tali servizi, vi invitiamo a consultare i post precedenti con i nostri punti di vista sulle Patch Tuesday .