Microsoft ha anunciado una vulnerabilidad de gravedad alta relacionada con su suite Office, identificada como CVE-2024-38200. Esta falla permite a actores no autorizados acceder a información protegida mediante una debilidad de divulgación de información.
Afectación y evaluación
La vulnerabilidad afecta varias versiones de Office, incluyendo Office 2016, Office 2019, Office LTSC 2021 y Microsoft 365 Apps for Enterprise. Aunque Microsoft indica que la explotación es poco probable, MITRE ha etiquetado esta debilidad como altamente probable.
Según el aviso de Microsoft, en un escenario de ataque basado en la web, un atacante podría alojar un sitio web o aprovechar uno comprometido que acepte contenido proporcionado por el usuario. Este contenido podría contener un archivo especialmente diseñado para explotar la vulnerabilidad.
Solución y mitigaciones
Microsoft está desarrollando actualizaciones de seguridad para resolver este error, pero aún no ha anunciado una fecha de lanzamiento. Desde la publicación del artículo, la empresa compartió más información sobre la falla en el aviso, indicando que lanzó una solución a través de Feature Flighting el 30 de julio.
Los clientes ya están protegidos en todas las versiones de Microsoft Office y Microsoft 365 que reciben soporte. Sin embargo, deben actualizar a las actualizaciones del 13 de agosto de 2024 para obtener la versión final de la solución.
Microsoft sugiere varias mitigaciones para reducir el riesgo asociado a esta vulnerabilidad:
- Configurar la política de grupo «Seguridad de red > Restringir NTLM > Tráfico NTLM saliente a servidores remotos» para permitir, bloquear o auditar el tráfico NTLM saliente.
- Agregar usuarios al grupo de seguridad «Usuarios protegidos», que restringe el uso de NTLM como mecanismo de autenticación.
- Bloquear todo el tráfico saliente al puerto TCP 445.
Microsoft advierte que utilizar cualquiera de estas mitigaciones podría impedir el acceso legítimo a servidores remotos que dependen de la autenticación NTLM.
Riesgos y consecuencias
La vulnerabilidad permite a un atacante forzar una conexión NTLM saliente, como a un recurso compartido SMB en el servidor de un atacante. En este caso, Windows envía los hashes NTLM del usuario, incluida su contraseña hasheada, que el atacante puede robar.
Estos hashes pueden ser descifrados para obtener acceso a nombres de inicio de sesión y contraseñas en texto sin formato. Además, se pueden usar en ataques de retransmisión NTLM, como los ataques ShadowCoerce, DFSCoerce, PetitPotam y RemotePotato0, para obtener acceso a otros recursos en una red.
Información adicional
Microsoft atribuyó el descubrimiento de las fallas al consultor de seguridad Jim Rush y al miembro del equipo Synack Red Team Metin Yunus Kandemir. Rush revelará más información sobre esta vulnerabilidad en su próxima charla «NTLM – The last ride» en Defcon.
Microsoft también está trabajando en parchear fallas Zero-Days que podrían explotarse para «un-patch» sistemas Windows actualizados y reintroducir vulnerabilidades antiguas. La compañía también mencionó que está considerando parchear un control de aplicaciones inteligentes de Windows, una vulnerabilidad que se omite en SmartScreen y que ha sido explotada desde 2018.