Este mes se reportaron varios ceros días (Zero-Days) dirigidos a sistemas de Microsoft, entre ellos CVE-2023-36025. Esta vulnerabilidad tiene un CVSSv3 de 8,8 y permite que el contenido malicioso eluda la función de seguridad SmartScreen de Windows. SmartScreen es un componente integrado de Windows que intenta detectar y bloquear sitios web y archivos maliciosos.
Explotación de CVE-2023-36025
Según Microsoft, la vulnerabilidad se explotó en la naturaleza como un día cero. Los atacantes podrían aprovecharla haciendo que un usuario de Windows haga clic en un enlace trampa a un archivo de acceso directo. Un atacante podría crear un archivo de acceso directo a Internet (.URL) malicioso y convencer a un objetivo para que haga clic en el archivo o en un hipervínculo que apunte a un archivo.URL. Una explotación exitosa permitiría eludir los controles de seguridad en Windows Defender SmartScreen.
Vulnerabilidades en Microsoft Exchange Server
Kevin Breen, director senior de investigación de amenazas en Immersive Labs, destacó que las organizaciones que ejecutan Microsoft Exchange Server deberían priorizar varios parches nuevos de Exchange. Entre ellos se encuentra CVE-2023-36439 (CVSSv3 8,0), una vulnerabilidad que permitiría a los atacantes instalar software malicioso en un servidor Exchange.
Esta debilidad técnicamente requiere que el atacante esté autenticado en la red local del objetivo. Sin embargo, Breen señaló que un par de credenciales de Exchange suplantadas proporcionarían ese acceso muy bien. Un atacante autenticado en un servidor Exchange vulnerable como usuario válido podría aprovechar esta vulnerabilidad para obtener RCE (Remote Code Execution) como NT AUTHORITY\SYSTEM en el backend del buzón del servidor. Microsoft califica esta vulnerabilidad como Explotación más probable.
Breen mencionó que esta vulnerabilidad va de la mano con otros tres errores de Exchange que Microsoft designó como «explotación más probable»: CVE-2023-36050, CVE-2023-36039 y CVE-2023-36035.
Impacto global
ShadowServer está informando sobre IP vulnerables de Microsoft Exchange Server relacionadas con CVE-2023-36439 (RCE posterior a la autenticación). Ya cuentan más de 63.000 equipos vulnerables en todo el mundo y 600 en América Latina.
Es una de las cuatro vulnerabilidades en Microsoft Exchange Server parcheadas y con la importante explotación histórica de Microsoft Exchange Server por parte de atacantes, continuamos monitoreando y resaltando fallas en Exchange Server.