Se ha identificado una vulnerabilidad crítica en servidores Microsoft Exchange, denominada CVE-2024-21410, que permite a actores remotos no autenticados realizar ataques de retransmisión NTLM y escalar sus privilegios dentro del sistema. Esta falla se encuentra activamente explotada por delincuentes informáticos.
Estado actual de la vulnerabilidad
Según datos recientes, hasta 97.000 servidores Microsoft Exchange podrían estar afectados. De estos, se han identificado 28.500 como vulnerables a CVE-2024-21410. La v15.2.1544.04 es la primera versión de esa serie y no presenta riesgo.
El estado de vulnerabilidad de aproximadamente 68.500 servidores depende de si los administradores aplicaron mitigaciones. Los países más afectados son Alemania (22.903 casos), Estados Unidos (19.434), Reino Unido (3.665), Francia (3.074), Austria (2.987), Rusia (2.771), Canadá (2.554) y Suiza (2.119).
Acciones recomendadas
Para abordar CVE-2024-21410, se recomienda a los administradores aplicar la actualización acumulativa 14 (CU14) de Exchange Server 2019 publicada durante el martes de parches de febrero de 2024. Esta actualización habilita las protecciones de retransmisión de credenciales NTLM.
Microsoft revisó su Evaluación de explotabilidad y señaló que ha habilitado la Protección extendida para la autenticación (EPA) de forma predeterminada con la actualización acumulativa 14. En todo caso se puede activar manualmente.
Contexto del ataque
A principios de este mes, Trend Micro implicó a un adversario en ataques de retransmisión NTLM dirigidos a entidades de alto valor al menos desde abril de 2022. Las intrusiones se dirigieron a organizaciones que se ocupan de asuntos exteriores, energía, defensa y transporte, así como a aquellas involucradas con el trabajo y el bienestar social, finanzas, paternidad y ayuntamientos locales.
La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. (CISA) agregó CVE-2024-21410 a su catálogo de ‘Vulnerabilidades explotadas conocidas’, dando a las agencias federales hasta el 7 de marzo de 2024 para aplicar las actualizaciones o dejar de usar el producto.
Actualmente, no hay ningún exploit de prueba de concepto (PoC) disponible públicamente para CVE-2024-21410, lo que limita la cantidad de atacantes que utilizan la falla en los ataques.
Datos técnicos
Microsoft abordó el problema el 13 de febrero, cuando ya se había aprovechado como Zero-Day. La vulnerabilidad no es la misma que la crítica en Outlook con CVE-2024-21413.