El martes 14 de marzo de 2023, Microsoft lanzó una actualización de seguridad que corrige 80 fallas en sus sistemas operativos.
Vulnerabilidades destacadas
La vulnerabilidad CVE-2023-23397 es una falla zero-day en Microsoft Outlook que permite escalar de privilegios. Esta vulnerabilidad puede ser explotada enviando un correo electrónico especialmente diseñado que se activa automáticamente cuando el cliente de Outlook lo recupera y lo procesa.
Los atacantes pueden explotar esta vulnerabilidad enviando mensajes con propiedades MAPI extendidas que contienen rutas UNC a un SMB compartido (TCP 445) bajo su control. La vulnerabilidad afecta a todas las versiones compatibles de Microsoft Outlook para Windows, pero no afecta a las versiones de Outlook para Android, iOS o macOS.
Las versiones online, como Outlook web o Microsoft 365, no son vulnerables a ataques que apuntan a explotar estas vulnerabilidades NTLM.
Vulnerabilidad CVE-2023-24880
CVE-2023-24880 permite bypass de la función de seguridad de Windows SmartScreen. Esta vulnerabilidad se debe a un parche limitado lanzado por Microsoft el año anterior para resolver otra falla en SmartScreen (CVE-2022-44698). La vulnerabilidad CVE-2023-24880 fue explotada por atacantes motivados en desplegar el ransomware 'Magniber'.
Recomendaciones de mitigación
- Se recomienda aplicar la actualización de seguridad de manera inmediata.
- Para mitigar el riesgo asociado a esta vulnerabilidad, se sugiere restringir el tráfico SMB saliente en entornos corporativos tradicionales mediante cortafuegos perimetrales, proxies web o cortafuegos basados en host.
- Se recomienda restringir el uso de la autenticación NTLM.
- El grupo de seguridad 'Usuarios Protegidos del Directorio Activo' puede utilizarse para las cuentas sensibles, lo que impide que estas cuentas utilicen NTLM y fuerza el uso de Kerberos.
Requiere un nivel funcional de dominio de al menos 2012R2. Los servicios o sistemas heredados que utilicen autenticación NTLM fallarán. No se recomienda añadir cuentas de servicio o cuentas de equipo a este grupo.
Consideraciones adicionales
Se requiere línea de visión a un controlador de dominio, el uso de credenciales en caché no funcionará. Las cuentas con hashes no AES (normalmente cuentas creadas históricamente en un nivel funcional de dominio de 2003) requerirán un restablecimiento de contraseña para funcionar.
Existen algunos avisos a la hora de utilizar la asignación de cuentas a este grupo de seguridad. También se lanzó un script para comprobar si la organización fue atacada, disponible en: https://aka.ms/CVE-2023-23397ScriptDoc.
Deben revisarse los elementos detectados que apunten a un recurso compartido no reconocido para determinar si son maliciosos. Si se detectan objetos, deben eliminarse o borrar el parámetro.
Vulnerabilidades adicionales
Microsoft también cerró una serie de vulnerabilidades críticas de ejecución de código en remoto que afectan a la pila del protocolo HTTP (CVE-2023-23392), el protocolo de mensajes de control de Internet (ICMP) (CVE-2023-23415) y el 'Remote Procedure Call Runtime' (CVE-2023-21708).