Investigadores de seguridad de Akamai han revelado que múltiples formas de explotar una vulnerabilidad de ejecución remota de código Zero-Click en Outlook fueron identificadas después de que Microsoft publicara parches para corregirla a principios del año.
Vulnerabilidad original y su solución
La vulnerabilidad, identificada como CVE-2023-23397, fue solucionada por Microsoft en marzo de 2023. Sin embargo, un actor de amenazas patrocinado por el estado ruso la había estado explotando durante aproximadamente un año antes de que se lanzara el parche.
El problema permitía a un atacante no autenticado aprovecharse enviando un recordatorio por correo electrónico que contuviera una notificación sonora especificada como ruta, lo cual obligaba al cliente Outlook a conectarse al servidor del atacante. Esto resultaba en el envío del hash Net-NTLMv2 al servidor.
No se requería interacción del usuario para la explotación, ya que el error se activaba inmediatamente cuando el servidor recibía y procesaba el correo electrónico. Microsoft resolvió el problema con una llamada a una función API que verificaba la ruta para asegurarse de que no era una referencia a una URL en Internet.
Nuevas vulnerabilidades descubiertas
Akamai identificó varias formas de explotar la vulnerabilidad original, incluyendo CVE-2023-29324. Esta falla permitía engañar a la función llamada para que trate una ruta remota como local al incluir una URL modificada en el correo electrónico. Microsoft solucionó este problema en mayo de 2023.
Además, se descubrió otra vulnerabilidad, rastreada como CVE-2023-35384, que es una confusión de tipo de ruta y puede explotarse a través de URL diseñadas. Sin embargo, esta requiere la interacción del usuario.
Microsoft mencionó en su aviso que un atacante podría crear un archivo malicioso o enviar una URL maliciosa que evadiera el etiquetado de la Zona de Seguridad, lo cual resultaría en una pérdida limitada de integridad y disponibilidad de las funciones de seguridad utilizadas por los navegadores y algunas aplicaciones personalizadas.
Vulnerabilidad relacionada con archivos de sonido
En octubre, Microsoft parcheó otra vulnerabilidad relacionada con el vector de ataque de Outlook. Esta vez se trataba de un error de desbordamiento de enteros en el Administrador de compresión de audio (ACM), que maneja los casos en los que el códec de un archivo WAV debe ser decodificado por un decodificador personalizado.
El defecto se identificó en la función mapWavePrepareHeader del administrador de ACM. Debido a que la función no realizaba ninguna verificación de desbordamientos al agregar bytes al tamaño del búfer de destino, un atacante podía desencadenar la asignación de un búfer muy pequeño, lo cual provocaba dos escrituras fuera de los límites.
Según Akamai, se logró activar la vulnerabilidad utilizando el códec IMA ADP. El tamaño del archivo era de aproximadamente 1,8 GB. Al realizar la operación de límite matemático en el cálculo, se concluyó que el tamaño mínimo posible con este códec es de 1 GB.
Akamai señaló que un atacante podría explotar con éxito esta vulnerabilidad en el contexto del cliente Outlook u otra aplicación de mensajería instantánea para lograr la ejecución remota de código sin interacción del usuario.
Conclusión
Akamai concluye que la superficie de ataque en Outlook que investigaron aún existe y se pueden encontrar y explotar nuevas vulnerabilidades. Aunque Microsoft parcheó Exchange para eliminar los correos electrónicos que contienen la propiedad PidLidReminderFileParameter, no se puede descartar la posibilidad de eludir esta mitigación.