Se ha publicado un parche no oficial gratuito para una nueva falla Zero-Day denominada EventLogCrasher que afecta a dispositivos con Windows. Esta vulnerabilidad permite a los atacantes bloquear remotamente el servicio de registro de eventos en máquinas dentro del mismo dominio de Windows.
Vulnerabilidad afecta a múltiples versiones de Windows
EventLogCrasher impacta a todas las versiones de Windows, desde Windows 7 hasta Windows 11, y también a servidores como Server 2008 R2 hasta Server 2022. La vulnerabilidad fue descubierta por un investigador de seguridad conocido como Florian, quien la reportó al Centro de respuesta de seguridad de Microsoft.
Microsoft etiquetó el informe como que no cumplía con los requisitos de servicio y lo consideró duplicado de una falla de 2022. Florian publicó una prueba de concepto de exploit en su repositorio GitHub la semana pasada.
Vulnerabilidad similar ya conocida
Varonis, compañía de software, reveló una vulnerabilidad similar denominada LogCrusher que también está esperando un parche. Esta falla puede ser explotada por cualquier usuario de dominio para bloquear remotamente el servicio de registro de eventos en máquinas con Windows.
Condiciones para la explotación
Para explotar EventLogCrasher, los atacantes necesitan conectividad de red y credenciales válidas, incluso con privilegios bajos. El bloqueo del servicio de registro de eventos puede afectar la gestión de eventos e información de seguridad (SIEM) y sistemas de detección de intrusiones (IDS), ya que no pueden ingerir nuevos eventos para activar alertas.
Los eventos del sistema y de seguridad están en cola en la memoria, pero si el servicio se bloquea durante un tiempo prolongado o el sistema se apaga, estos eventos pueden ser irrecuperables.
Afirmación del investigador
Florian explicó que el bloqueo ocurre cuando un atacante envía un objeto UNICODE_STRING con formato incorrecto al método ElfrRegisterEventSourceW expuesto por el protocolo de comunicación remota EventLog basado en RPC.
Riesgos para la seguridad
Según Mitja Kolsek, cofundador de 0patch, un atacante con pocos privilegios puede bloquear el servicio de registro de eventos tanto en la máquina local como en cualquier otra computadora con Windows en la red donde pueda autenticarse. En un dominio de Windows, esto significa todas las máquinas del dominio, incluido el controlador.
Durante el tiempo que el servicio está inactivo, los mecanismos de detección que absorben registros de Windows estarán ciegos, lo que permitirá al atacante realizar más actividades sin hacerse notar.
Parches no oficiales disponibles
El servicio de microparches 0patch lanzó parches no oficiales para las versiones de Windows más afectadas, disponibles gratuitamente hasta que Microsoft publique actualizaciones oficiales.