El error recurrente de Windows podría filtrar las credenciales del usuario

Todas las versiones de los clientes de Windows, desde Windows 7 hasta las versiones actuales de Windows 11, contienen una vulnerabilidad de día 0 que podría permitir a los atacantes capturar hashes de autenticación NTLM de los usuarios de los sistemas afectados.

Los investigadores de ACROS Security informaron sobre la falla a Microsoft esta semana. Descubrieron el problema mientras escribían un parche para sistemas Windows más antiguos. CVE-2024-38030una vulnerabilidad de suplantación de temas de Windows de gravedad media que Microsoft ha mitigado en su publicación Actualización de seguridad de julio.

Variante de dos vulnerabilidades anteriores

La vulnerabilidad, que ACROS descubierto es muy similar a CVE-2024-38030 y permite el llamado ataque de coerción de autenticación, que es esencialmente un dispositivo vulnerable obligado a enviar hashes NTLM – la representación criptográfica de la contraseña de un usuario – para el sistema de un atacante. Tomer Peled, investigador de Akamai descubierto CVE-2024-38030 mientras se analiza la solución de Microsoft para CVE-2024-21320otra vulnerabilidad anterior de suplantación de temas de Windows el descubrio e informado a Microsoft. La falla descubierta por ACROS es una vulnerabilidad nueva e independiente relacionada con los dos errores informados anteriormente por Peled.

Los archivos de temas de Windows permiten a los usuarios personalizar la apariencia de la interfaz de su escritorio de Windows mediante fondos de pantalla, protectores de pantalla, colores y sonidos. Ambas vulnerabilidades descubiertas por el investigador de Akamai, Peled, tenían que ver con la forma en que los temas procesaban las rutas de archivos a algunos recursos de imágenes, particularmente BrandImage o Wallpaper. Peled señaló que debido a una validación inadecuada, un atacante podría manipular la ruta legítima a estos recursos para que Windows envíe automáticamente una solicitud autenticada al dispositivo del atacante junto con el hash NTLM del usuario.

Como explica Peled a Dark Reading: “El formato de archivo del tema es un archivo .ini con múltiples pares clave-valor. «Originalmente encontré dos pares clave-valor que podían aceptar rutas de archivos», dice.

La vulnerabilidad original (CVE-2024-21320) surgió del hecho de que los pares clave-valor aceptaban rutas UNC (un formato estandarizado utilizado para identificar recursos de red como archivos y carpetas compartidos) para unidades de red, señala Peled. «El [meant] que un archivo de tema armado con una ruta UNC podría desencadenar una conexión saliente con autenticación de usuario sin que el usuario se dé cuenta». Microsoft solucionó el problema agregando una verificación en la ruta del archivo para garantizar que no sea una ruta UNC. Pero Peled dice que la característica que Microsoft utilizó para esta validación permitió algunas soluciones, lo que llevó a Peled a descubrir la segunda vulnerabilidad (CVE-2024-38030).

Microsoft actuará «según sea necesario».

Lo que ACROS Security informó esta semana es la tercera vulnerabilidad de suplantación de temas de Windows basada en el mismo problema de ruta de archivo. «Nuestros investigadores descubrieron la vulnerabilidad a principios de octubre cuando escribieron un parche para CVE-2024-38030 destinado a sistemas Windows más antiguos que muchos de nuestros usuarios todavía utilizan», dice Mitja Kolsek, director ejecutivo de ACROS Security. «Hemos informado de este problema a Microsoft [on] 28 de octubre de 2024, pero no hemos publicado detalles ni una prueba de concepto de lo que planeamos hacer después de que Microsoft haga público su propio parche”.

Un portavoz de Microsoft dijo por correo electrónico que la compañía estaba al tanto del informe ACROS y que «tomaría las medidas necesarias para garantizar la protección del cliente». La compañía aún no parece haber publicado un CVE (identificador de vulnerabilidad) para el nuevo problema.

Al igual que las dos vulnerabilidades de suplantación de temas de Windows anteriores descubiertas por Akamai, la nueva encontrada por ACROS no requiere ningún privilegio especial por parte del atacante. «Pero de alguna manera tienen que lograr que el usuario copie un archivo de tema a otra carpeta en su computadora y luego abra esa carpeta con el Explorador de Windows en una vista que muestre íconos», dice Kolsek. “El archivo también se puede descargar automáticamente a la carpeta de descargas cuando visites [an] Sitio web del atacante. En este caso, el atacante tendría que esperar a que el usuario vea la carpeta de Descargas más adelante.

Kolsek recomienda que las organizaciones desactiven NTLM cuando sea posible, pero reconoce que esto podría causar problemas de funcionalidad si los componentes de la red dependen de él. «[An] «Un atacante sólo podría atacar con éxito una computadora que tenga NTLM habilitado», dice. «Otro requisito es que una solicitud iniciada por un archivo de tema malicioso pueda llegar al servidor del atacante en Internet o en una red adyacente», algo que utilizan los firewalls. Por lo tanto, es más probable que un atacante intente explotar la falla en un servidor. campaña de manera dirigida que en un exploit masivo.

Según Peled de Akamai, es difícil saber cuál es la vulnerabilidad ACROS sin tener acceso a los detalles técnicos. «Pero podría ser otra omisión UNC que pasa por alto la verificación, o podría ser otro par clave-valor que se omitió en el parche original», afirma. “Los formatos de ruta UNC son muy complejos y permiten combinaciones extrañas, lo que los hace muy difíciles de reconocer. Podría ser por eso que el problema es tan complejo de solucionar”.