Se ha publicado un código de explotación de prueba de concepto (PoC) para la vulnerabilidad CVE-2025-21293, una brecha crítica que permite la elevación de privilegios en los servicios de dominio de Active Directory. Esta vulnerabilidad fue descubierta en septiembre de 2024 y se corrigió en enero de 2025.
Características de la vulnerabilidad
CVE-2025-21293 tiene una puntuación CVSS de 8,8, lo que refleja su alta gravedad. La brecha se identificó durante una investigación sobre el grupo «Operadores de configuración de red», un grupo de seguridad integrado poco conocido en Active Directory.
Este grupo está diseñado para otorgar privilegios limitados de configuración de red a usuarios sin derechos administrativos completos. Sin embargo, se descubrió que tenía permisos excesivos sobre claves de registro confidenciales. En concreto, permitía la creación de subclaves bajo las claves de registro DnsCache y NetBT.
Mecanismo de explotación
El problema surge por la combinación de estos permisos con la capacidad de manipular los contadores de rendimiento de Windows. Estos contadores se utilizan para supervisar el rendimiento del sistema y de las aplicaciones, pero también permiten la ejecución de código personalizado a través de archivos DLL.
Al explotar los permisos del grupo «Operadores de configuración de red», un atacante podría registrar archivos DLL de contadores de rendimiento maliciosos en la clave de registro del servicio DnsCache. Una vez registrados, estos archivos DLL podrían ejecutarse con privilegios de nivel SYSTEM cuando se consulten con herramientas como PerfMon.exe o WMI.
Implementación del exploit
El exploit aprovecha la capacidad de Windows para cargar y ejecutar archivos DLL personalizados como parte de su infraestructura de contadores de rendimiento. El atacante registra cuatro subclaves de registro específicas (Library, Open, Collect y Close) que apuntan a su archivo DLL malicioso.
Cuando se accede al contador de rendimiento, por ejemplo mediante consultas WMI o herramientas de monitoreo, el código malicioso se ejecuta en el contexto de SYSTEM, lo que permite la elevación de privilegios.
Recomendaciones y parche
Microsoft abordó esta vulnerabilidad en sus actualizaciones del martes de parches de enero de 2025. El parche modifica los permisos del grupo «Operadores de configuración de red», eliminando su capacidad de crear subclaves bajo claves de registro críticas.
Se recomienda encarecidamente a las organizaciones que apliquen esta actualización de inmediato para mitigar los posibles riesgos. En el caso de los sistemas que no se puedan reparar de inmediato, los administradores deberían considerar restringir la membresía en el grupo «Operadores de configuración de red» y monitorear modificaciones inusuales en el registro o actividad del contador de rendimiento.