Un análisis realizado por el investigador de seguridad Michael Baer del SEC Consult Vulnerability Lab revela que una vulnerabilidad Zero-Day, identificada como CVE-2024-38014, está siendo explotada activamente. Esta vulnerabilidad afecta a los instaladores MSI (Microsoft Installer) en sistemas Windows y permite escalar privilegios hasta el nivel de SYSTEM.
Funcionamiento de la Vulnerabilidad
Los archivos MSI se utilizan comúnmente para instalar, actualizar y reparar software en Windows. Aunque las operaciones de instalación y eliminación requieren permisos elevados, las funciones de reparación pueden ser ejecutadas por usuarios con pocos privilegios. Sin embargo, estas funciones se realizan en el contexto de NT AUTHORITY\SYSTEM, lo que otorga un acceso muy elevado al sistema.
Los atacantes pueden aprovechar esta configuración para obtener privilegios elevados mediante la manipulación de ventanas de comando brevemente abiertas durante la ejecución del instalador MSI. Baer destaca cómo los atacantes pueden escalar sus derechos y tomar el control total de la máquina afectada.
Exploit y Condiciones para su Ejecución
El ataque requiere acceso a la GUI (Interfaz Gráfica de Usuario) y depende de condiciones específicas para tener éxito. Algunos navegadores como Firefox y Chrome son clave para ejecutar el exploit, ya que las versiones más nuevas de Edge o Internet Explorer no permiten que el ataque continúe.
Una vez que se ejecuta el exploit, el atacante obtiene privilegios completos, lo que le permite tomar el control total de la máquina. Para mitigar este riesgo, Microsoft emitió un parche como parte de sus actualizaciones de septiembre de 2024.
Medidas de Mitigación
El parche introduce un mensaje de Control de cuentas de usuario (UAC) cuando se ejecuta una función de reparación de MSI con privilegios elevados. Si la solicitud de UAC es rechazada, el proceso de reparación se cancela, lo que mitiga el riesgo de escalamiento de privilegios.
Además del parche, Baer recomienda a los proveedores de software utilizar prácticas de codificación segura al desarrollar instaladores MSI. Las acciones personalizadas, especialmente aquellas que involucran aplicaciones de consola, deben invocarse sin ventanas visibles para evitar la interacción con procesos elevados.
Los administradores deben aplicar el parche lo antes posible y considerar deshabilitar la función de reparación en instaladores MSI vulnerables hasta que el software esté completamente parcheado. También se recomienda deshabilitar el uso de ciertos instaladores a través de claves de registro e implementar prácticas de seguridad sólidas.
Herramienta para la Detección
El equipo de Baer lanzó una herramienta analizadora de código abierto llamada «msiscan». Esta herramienta escanea automáticamente los archivos MSI en busca de configuraciones inseguras y posibles vías de escalamiento de privilegios.
Msiscan realiza un análisis estático, examina los comandos ejecutados por el instalador e identifica comportamientos riesgosos, como la apertura de una ventana de terminal o el uso de scripts inseguros.