Una empresa de ciberseguridad, SafeBreach Labs, ha publicado un exploit de prueba de concepto (PoC) para una vulnerabilidad ahora corregida que afecta al protocolo LDAP de Windows. Esta falla podría desencadenar una condición de denegación de servicio (DoS) y permitir la ejecución remota de código (RCE).
Vulnerabilidades identificadas
La vulnerabilidad de lectura fuera de límites, identificada como CVE-2024-49113 (CVSS: 7,5), fue abordada por Microsoft en las actualizaciones de diciembre de 2024. Esta se encuentra en el mismo componente que otra falla crítica de desbordamiento de enteros, identificada como CVE-2024-49112 (CVSS: 9,8), la cual podría provocar la ejecución remota de código.
Exploit publicado por SafeBreach Labs
El PoC para CVE-2024-49113, cuyo nombre en código es LDAPNightmare, está diseñado para bloquear cualquier servidor Windows Server sin parches. Para lograrlo, solo se requiere que el servidor DNS del controlador de dominio víctima tenga conectividad a Internet.
Descubrimiento y atribución
El investigador de seguridad independiente Yuki Chen es responsable de descubrir y reportar ambas vulnerabilidades. SafeBreach ha asignado el nombre LDAPNightmare al CVE-2024-49113, aunque se debe destacar que esta solo representa una condición de denegación de servicio, no una ejecución remota de código. En cambio, CVE-2024-49112 sí permite la RCE.
Detalles técnicos del ataque
El exploit implica enviar una solicitud DCE/RPC al servidor víctima, lo que provoca que el servicio del subsistema de autoridad de seguridad local (LSASS) se bloquee y fuerce un reinicio cuando se envía un paquete de respuesta de referencia CLDAP especialmente diseñado con un valor distinto de cero para «lm_referral».
Posible explotación combinada
SafeBreach descubrió que la misma cadena de exploits podría aprovecharse también para lograr la ejecución remota de código (CVE-2024-49112) modificando el paquete CLDAP.
Recomendaciones de mitigación
Microsoft ha publicado parches para ambas vulnerabilidades. Para mitigar el riesgo, se recomienda que las organizaciones apliquen los parches de diciembre de 2024. En caso de no poder aplicarlos inmediatamente, se sugiere implementar detecciones para monitorear respuestas de referencia CLDAP sospechosas, llamadas DsrGetDcNameEx2 sospechosas y consultas SRV de DNS sospechosas.
Actividad maliciosa detectada
Una actualización del 13/01 revela que Trend Micro ha detectado un repositorio GitHub con un exploit malicioso para CVE-2024-49113. El supuesto exploit es un binario (poc.exe) compactado con UPX que descarga un Powershell en la carpeta temporal del sistema. Este PS crea una tarea programada que descarga un nuevo código desde Pastebin. El payload final es un infostealer, que sube al FTP del atacante la información robada y comprimida en un archivo ZIP.