El Protocolo de Escritorio Remoto (RDP), utilizado para acceder y controlar remotamente sistemas basados en Windows, ha sido parte integral del entorno tecnológico desde su lanzamiento inicial. La versión «Remote Desktop Protocol 4.0», introducida en 1996 como parte de la edición Windows NT 4.0 Terminal Server, permitió a los usuarios conectarse a computadoras Windows mediante una red, sentando las bases para su amplia adopción posterior.
Vulnerabilidades y riesgos asociados al RDP
A lo largo de las décadas, el RDP se ha convertido en un protocolo clave para el trabajo remoto, el soporte técnico y la administración de sistemas. Sin embargo, su uso generalizado también lo ha expuesto a vulnerabilidades que pueden tener consecuencias graves.
Una de las principales amenazas es una vulnerabilidad de ejecución remota de código (RCE), que permite a un atacante acceder no autorizado al sistema afectado. Esto puede facilitar el control del sistema, la evasión de medidas de seguridad y la realización de acciones maliciosas como movimiento lateral, exfiltración de datos o implantación de malware.
La gravedad del impacto depende de varios factores, incluida la vulnerabilidad específica, las intenciones del atacante, la importancia del sistema objetivo y las medidas de seguridad implementadas. Aunque el material no establece un nivel de riesgo definitivo, se destaca que las vulnerabilidades RCE en RDP son consideradas un problema crítico, requiriendo atención inmediata.
Vulnerabilidad CVE-2023-24905: Secuestro de DLL en el cliente RDP
Una de las vulnerabilidades recientes es CVE-2023-24905, que aprovecha el secuestro de la biblioteca de vínculos dinámicos (DLL). El atacante puede comprometer al cliente RDP si se carga un archivo malicioso desde el directorio de trabajo actual en lugar del directorio del sistema operativo Windows.
El investigador Dor Dali de Cyolo Security encontró y reportó esta vulnerabilidad, que permite a un atacante colocar un archivo malicioso en una ubicación accesible y engañar al usuario para que lo ejecute. Esta vulnerabilidad solo afecta dispositivos con Windows en procesadores ARM, lo cual representa un riesgo significativo.
El uso de RDP y Windows en ARM es común en sistemas de control industrial (ICS) y otros entornos operativos (OT), lo que hace que estas infraestructuras sean objetivos principales para este ataque.
Vulnerabilidad CVE-2023-35332: Uso de protocolos obsoletos en RDP Gateway
Otra vulnerabilidad relevante es CVE-2023-35332, que se relaciona con el uso del protocolo DTLS 1.0 en el canal secundario del RDP Gateway. Aunque el principal canal de comunicación utiliza TLS v1.2, un protocolo ampliamente aceptado, el canal secundario depende de DTLS 1.0, que está obsoleto desde marzo de 2021 debido a sus vulnerabilidades.
El uso de DTLS 1.0 puede llevar al incumplimiento involuntario de estándares y regulaciones industriales. Muchos operadores pueden no estar conscientes de este riesgo, lo que incrementa la exposición a amenazas.
Para mitigar estos riesgos, se recomienda actualizar los clientes RDP y puertas de enlace con los parches publicados por Microsoft (CVE-2023-24905 y CVE-2023-35332). Sin embargo, debido a la amplia adopción del RDP en entornos OT/ICS que son difíciles de parchear, es crucial implementar controles de acceso sólidos.
Las organizaciones que operan estos sistemas deben buscar herramientas de seguridad que cumplan con sus requisitos específicos sobre disponibilidad y seguridad operativa.