Investigadores de seguridad han publicado detalles técnicos y un código de explotación de prueba de concepto (PoC) para la vulnerabilidad CVE-2024-43452, una falla de elevación de privilegios en el Registro de Windows. La vulnerabilidad tiene una puntuación CVSS de 7.5 y fue resuelta por Microsoft en las actualizaciones de noviembre de 2024.
Detalles técnicos de la vulnerabilidad
La falla fue informada por Mateusz Jurczyk de Google Project Zero, quien destacó que se trata de un descuido de diseño en la gestión de memoria de la subárbol del Registro de Windows. Esta situación podría permitir a los atacantes obtener acceso a nivel de SYSTEM en máquinas vulnerables.
El análisis de CVE-2024-43452 resalta los peligros de la falsa inmutabilidad de archivos en los sistemas operativos. Jurczyk atribuye la inspiración para esta investigación al trabajo de Gabriel Landau sobre este tipo de vulnerabilidades.
Explicación del mecanismo de explotación
La falla se origina en un proceso llamado double-fetch durante la carga de las subárboles del Registro. Según el análisis, «es posible que las mismas páginas de memoria se lean nuevamente desde un medio subyacente… Esto es un problema de seguridad porque, por ejemplo, si un servidor SMB malicioso responde con datos diferentes en ambas solicitudes, entonces se puede cambiar, rompiendo las garantías ofrecidas del núcleo».
Prueba de concepto y condiciones para su reproducción
La prueba de concepto (PoC) para CVE-2024-43452 involucró un servidor SMB basado en Linux que ejecuta scripts de Python para manipular el archivo HIVE. Jurczyk detalla que la prueba de concepto funcionó en Windows 11 23H2 con los parches de julio de 2024 instalados.
«La vulnerabilidad depende en gran medida del consumo/diseño de la memoria del sistema, por lo que si no se reproduce en el primer intento, se recomienda volver a intentarlo, verificar el alcance del uso de la memoria (por ejemplo, en el Administrador de tareas) y, potencialmente, intentar ajustar la cantidad de memoria física asignada a la máquina virtual», señaló.
Acciones recomendadas para mitigar los riesgos
Microsoft abordó esta vulnerabilidad en las actualizaciones del martes de los parches de noviembre de 2024. Se recomienda encarecidamente a los usuarios que apliquen el parche de inmediato para mitigar los riesgos.
Para las organizaciones, la supervisión proactiva del tráfico SMB y la limitación del acceso a las operaciones relacionadas con el registro pueden reducir aún más la exposición.