Investigadores de seguridad cibernética han revelado una nueva vulnerabilidad relacionada con el protocolo de comunicación de llamadas de procedimiento remoto (RPC) de Windows, ahora solucionada. Esta brecha podría permitir a un atacante realizar ataques de falsificación y hacerse pasar por un servidor conocido.
Vulnerabilidad identificada como CVE-2025-49760
La vulnerabilidad, con el identificador CVE-2025-49760 (CVSS: 3.5), se describe como un error de falsificación de almacenamiento en Windows. Fue corregida en julio de 2025 como parte de la actualización mensual del martes de parche. Los detalles del defecto fueron compartidos por el investigador de SafeBreach, Ron Ben Yizhak, durante la Conferencia de Seguridad DEF CON 33.
Impacto y mecanismo de ataque
«El control externo del nombre de archivo o la ruta en el almacenamiento de Windows permite que un atacante autorizado realice la suplantación de suplantación en una red», indicó la compañía en un aviso publicado previamente.
Funcionamiento del protocolo RPC
El protocolo RPC de Windows utiliza identificadores universalmente únicos (UUID) y un mapeador de punto final (EPM) para permitir el uso de puntos finales dinámicos en las comunicaciones entre servidor y cliente, conectando así al cliente RPC a un punto final registrado por un servidor.
Detalles técnicos de la vulnerabilidad
La vulnerabilidad permite manipular un componente central del protocolo RPC. En el escenario de lo que se llama un ataque de envenenamiento EPM, los usuarios no privilegiados pueden pasar como un servicio legítimo con el objetivo de coaccionar un proceso protegido para autenticarse contra un servidor arbitrario elegido por el atacante.
Relación con ataques DNS
Dado que el funcionamiento del EPM es análogo al del DNS (asigna un UUID de interfaz a un punto final, solo que el DNS resuelve un dominio a una dirección IP), el ataque se desarrolla como un envenenamiento de DNS, donde un actor de amenaza manipula los datos de DNS para redirigir a los usuarios a sitios web maliciosos.
Posibles escenarios de explotación
- Envenenar EPM
- Disfrazarse como un servidor RPC legítimo
- Manipular clientes RPC
- Lograr un escalamiento de privilegio local/de dominio a través de un ataque con ESC8
Herramienta desarrollada por SafeBreach
SafeBreach también lanzó una herramienta llamada RPC-Racer que se puede usar para marcar los servicios de RPC inseguros, como el servicio de almacenamiento o el storsvc.dll, y manipular un Protected Process Light (PPL), como el servicio de optimización de entrega o dosvc.dll, para autenticar la cuenta de máquina contra cualquier servidor seleccionado por el atacante.
Comentarios del investigador
«Me sorprendió descubrir que nada me impidió registrar interfaces integradas conocidas que pertenecen a los servicios principales», comentó Ben Yizhak en un informe. «Esperaba, por ejemplo, si el defensor de Windows tuviera un identificador único, ningún otro proceso podría registrarlo. Pero ese no fue el caso».