Se ha identificado una vulnerabilidad crítica, denominada CVE-2024-38193, que afecta al controlador de Windows afd.sys. Esta falla, con un puntaje CVSS de 7,8, permite a los atacantes escalar privilegios y ejecutar código arbitrario en sistemas vulnerables.
Vulnerabilidad y su impacto
La vulnerabilidad se encuentra en la extensión Registered I/O (RIO) para sockets de Windows. Esta característica está diseñada para optimizar la programación de sockets al reducir las llamadas al sistema. La falla surge debido a una condición de carrera entre las funciones AfdRioGetAndCacheBuffer() y AfdRioDereferenceBuffer().
Según el investigador de seguridad Luca Ginex, esta condición de carrera permite a un usuario malintencionado forzar a la función AfdRioGetAndCacheBuffer() a actuar sobre una estructura de búfer registrada que ha sido liberada por la función AfdRioDereferenceBuffer().
Uso en el entorno real
El Grupo Lazarus, un grupo de cibercriminales reconocido, está utilizando esta vulnerabilidad para instalar malware conocido como FudModule. Este malware fue detectado inicialmente por investigadores de AhnLab y ESET en 2022.
Gen Digital, la empresa que descubrió e informó de la vulnerabilidad a Microsoft, destacó que esta falla permite a los atacantes eludir las restricciones de seguridad normales y acceder a áreas sensibles del sistema. El ataque es complejo y podría valer cientos de miles de dólares en el mercado negro.
Proceso de explotación
El proceso de explotación de CVE-2024-38193 incluye varias etapas, según describe Ginex:
- Heap Spraying: el atacante rocía el grupo no paginado con estructuras RIOBuffer falsas y crea agujeros.
- Desencadenante de la vulnerabilidad: al crear dos subprocesos simultáneos, el atacante anula el registro de los búferes mientras aún están en uso.
- Escalamiento de privilegios: el atacante aprovecha las estructuras RIOBuffer liberadas para obtener el control sobre el contenido de la memoria caché y escalar privilegios.
El exploit utiliza esta capacidad de escritura arbitraria para sobrescribir la estructura _SEP_TOKEN_PRIVILEGES, lo que otorga privilegios NT AUTHORITY\SYSTEM.
Código de prueba de concepto
Nephster, un investigador de seguridad independiente, ha publicado un código de prueba de concepto (PoC) para la vulnerabilidad CVE-2024-38193 en GitHub. Esta acción aumenta aún más su amenaza potencial.
Corrección y recomendaciones
Esta vulnerabilidad ha sido corregida en el Patch Tuesday de agosto de 2024. Se recomienda encarecidamente a los usuarios que apliquen el parche para mitigar el riesgo de posibles ataques.