Microsoft anunció el jueves la existencia de cuatro vulnerabilidades de seguridad en el software de código abierto OpenVPN. Estas fallas, clasificadas como de gravedad media, podrían ser explotadas para lograr la ejecución remota de código (RCE) y la escalada de privilegios locales (LPE).
Posibles consecuencias de las vulnerabilidades
Según Vladimir Tokarev de la Comunidad de Inteligencia de Amenazas de Microsoft, «esta cadena de ataques podría permitir a los atacantes obtener el control total sobre los puntos finales seleccionados, lo que podría resultar en violaciones de datos, compromiso del sistema y acceso no autorizado a información confidencial».
Requisitos para explotar las vulnerabilidades
El exploit presentado en Black Hat USA 2024 requiere la autenticación del usuario y un conocimiento avanzado del funcionamiento interno de OpenVPN. Las fallas afectan a todas las versiones anteriores a la versión 2.6.10 y 2.5.10.
Vulnerabilidades identificadas
- CVE-2024-27459: una vulnerabilidad de desbordamiento de pila que conduce a denegación de servicio (DoS) y LPE en Windows.
- CVE-2024-24974: acceso no autorizado a la canalización con nombre «\openvpn\service» en Windows, lo que permite a un atacante interactuar de forma remota con ella y ejecutar operaciones en ella.
- CVE-2024-27903: una vulnerabilidad en el mecanismo del complemento que conduce a RCE en Windows y LPE, así como manipulación de datos en Android, iOS, macOS y BSD.
- CVE-2024-1305: una vulnerabilidad de desbordamiento de memoria que conduce a DoS en Windows.
Origen de las fallas
Las primeras tres de las cuatro fallas tienen su raíz en un componente llamado openvpnserv, mientras que la última reside en el controlador del punto de acceso de terminal (TAP) de Windows.
Condiciones para explotar las vulnerabilidades
Todas las vulnerabilidades pueden explotarse una vez que un atacante obtiene acceso a las credenciales OpenVPN de un usuario. Estas credenciales podrían obtenerse mediante métodos como la compra de credenciales robadas en la web oscura, el uso de malware ladrón o el rastreo del tráfico de red para capturar hashes NTLMv2 y luego usar herramientas de descifrado como HashCat o John the Ripper.
Posibles combinaciones de explotación
Un atacante podría encadenarse en diferentes combinaciones (CVE-2024-24974 y CVE-2024-27903 o CVE-2024-27459 y CVE-2024-27903) para lograr RCE y LPE, respectivamente.
Metodologías de ataque
Tokarev mencionó que los atacantes podrían aprovechar métodos como Bring Your Own Vulnerable Driver (BYOVD) después de lograr la LPE. A través de estas técnicas, el atacante podría deshabilitar Protect Process Light (PPL) para un proceso crítico como Microsoft Defender o eludir e interferir con otros procesos críticos en el sistema.