Por qué debería parchear la vulnerabilidad de Windows QueueJumper de inmediato

Microsoft corrigió más de 100 vulnerabilidades en sus productos esta semana, incluida una vulnerabilidad de escalada de privilegios de día cero utilizada por una pandilla de ransomware en la naturaleza. Sin embargo, otra vulnerabilidad crítica, que puede explotarse fácilmente para hacerse cargo de los sistemas Windows de forma remota a través de redes de área local e Internet, probablemente sea de mayor interés para los atacantes y será ampliamente explotada en el futuro.

Apodado QueueJumper y pistas como CVE-2023-21554La falla fue descubierta por investigadores de la firma de seguridad Check Point Software Technologies y recibió una calificación de 9.8 sobre 10 en la escala de gravedad CVSS. El aviso de propiedad de Microsoft enumera la complejidad del ataque como baja y la calificación de explotabilidad como más probable. El impacto es la ejecución remota de código.

Ejecución remota de código en el servicio de Message Queue Server heredado

La falla radica en un componente de Windows llamado Microsoft Message Queuing (MSMQ), que permite que las aplicaciones se comuniquen y garanticen la entrega de mensajes incluso cuando las redes y los sistemas están temporalmente fuera de línea al retener los mensajes en una cola. Este servicio existe en Windows desde Windows NT y ha visto varias versiones a lo largo de los años. Cuando está activo, el servicio acepta comunicaciones en el puerto 1801 TCP.

Aunque MSMQ generalmente se considera un servicio heredado que ha sido reemplazado por tecnologías de comunicación más nuevas, todavía existe como un componente opcional en Windows 11 y la última versión de Windows Server. Además, las aplicaciones diseñadas para ello lo activan en el momento de la instalación, lo que puede ocurrir sin que los usuarios o administradores se den cuenta.

Documentación de Microsoft brinda ejemplos de casos de uso para MSMQ, como servicios financieros de misión crítica para comercio electrónico, aplicaciones integradas y portátiles, como las que se usan en los sistemas de manejo de equipaje en aeropuertos, y aplicaciones de automatización de ventas para representantes de ventas que viajan. Vale la pena señalar que esta documentación se escribió en 2016, por lo que la lista de aplicaciones que la utilizan ciertamente no es exhaustiva.

Como una cuestión de hecho, según el investigador de Check Point Haifei Li, una aplicación muy utilizada por las empresas, habilita el servicio MSMQ durante el proceso de instalación con la configuración predeterminada: Microsoft Exchange Server. Los servidores locales de Microsoft Exchange han sido un objetivo popular para los atacantes, en particular los grupos de ciberespionaje, en los últimos años.