Agencia CISA agrega una vulnerabilidad crítica a su catálogo
La Agencia de Seguridad de la Información y Redes (CISA) ha incluido una vulnerabilidad de seguridad crítica en su catálogo de vulnerabilidades explotadas conocidas (KEV). La vulnerabilidad afecta al servidor SharePoint Server de Microsoft, y se basa en evidencia de explotación activa.
Detalles técnicos de la vulnerabilidad
La vulnerabilidad identificada como CVE-2023-29357 tiene una puntuación CVSS de 9,8 y se clasifica como un error de escalamiento de privilegios. Un atacante podría aprovechar esta falla para obtener privilegios de administrador. Microsoft lanzó parches para corregir este error en sus actualizaciones del martes de parches de junio de 2023.
Explicación del mecanismo de ataque
Según Redmond, un atacante que haya obtenido acceso a tokens de autenticación JWT falsificados puede usarlos para ejecutar un ataque de red que eluda la autenticación y le permita obtener acceso a los privilegios de un usuario autenticado. El atacante no necesita privilegios ni el usuario necesita realizar ninguna acción.
Exploit demostrado en concurso de piratería
El investigador de seguridad Nguyễn Tiến Giang (Jang) de StarLabs SG demostró un
exploit para la vulnerabilidad durante el concurso de piratería Pwn2Own de Vancouver el año pasado, ganando un premio de 100.000 dólares.
Cadena de exploits combinada
La cadena de ejecución remota de código autenticado previamente combina la omisión de autenticación (CVE-2023–29357) con un error de inyección de código (CVE-2023-24955, puntuación CVSS: 7,2). Este último fue parcheado por Microsoft en mayo de 2023.
Proceso de descubrimiento de la cadena de exploits
Según el informe técnico publicado en septiembre de 2023, el proceso de descubrimiento y elaboración de la cadena de exploits consumió casi un año de esfuerzo e investigación meticulosos para completar la cadena de exploits completa.
Estado actual de la explotación
Actualmente se desconocen detalles adicionales sobre la explotación en el mundo real de CVE-2023–29357 y la identidad de los actores de amenazas que pueden estar abusando de ellos. Dicho esto, se recomienda que se apliquen los parches de forma inmediata.
