Una vulnerabilidad recientemente parcheada en la aplicación de correo electrónico Microsoft Outlook, identificada como CVE-2023-35636, podría permitir a actores maliciosos acceder a contraseñas hash de NT LAN Manager (NTLM) v2 al abrir un archivo especialmente diseñado. La vulnerabilidad fue abordada en las actualizaciones del martes de parches para diciembre de 2023.
Escenarios de explotación
Según el aviso publicado por Microsoft, la vulnerabilidad podría ser explotada en escenarios de ataque por correo electrónico o basados en web. En un ataque por correo electrónico, un atacante podría enviar al usuario un archivo especialmente diseñado y convencerlo para que lo abra. En un ataque basado en web, el atacante podría alojar un sitio web (o aprovechar uno comprometido) que contenga un archivo especialmente diseñado.
Para explotar la vulnerabilidad, el adversario tendría que convencer a los usuarios para que hagan clic en un enlace, ya sea incrustado en un correo electrónico de phishing o enviado a través de un mensaje instantáneo, y luego engañarlos para que abran el archivo en cuestión.
Origen de la vulnerabilidad
CVE-2023-35636 tiene su origen en la función para compartir calendario en Outlook. En esta función, se crea un mensaje de correo electrónico malicioso insertando dos encabezados manipulados: «Content-Class» y «x-sharing-config-url». Estos encabezados permiten exponer el hash NTLM de una víctima durante la autenticación.
Posibles métodos de ataque
El investigador de seguridad de Varonis, Dolev Taler, señaló que los hashes NTLM podrían filtrarse aprovechando el analizador de rendimiento de Windows (WPA) y el explorador de archivos. Estos dos métodos de ataque siguen sin parches.
Taler explicó que WPA intenta autenticarse utilizando NTLM v2 en la web abierta, lo cual puede hacerlo vulnerable a ataques de retransmisión y de fuerza bruta fuera de línea. Normalmente, se debe utilizar NTLM v2 al intentar autenticarse en servicios internos basados en direcciones IP.
Relación con otros descubrimientos
La divulgación de CVE-2023-35636 ocurre cuando Check Point reveló un caso de «autenticación forzada» que podría usarse como arma para filtrar los tokens NTLM de un usuario de Windows engañando a la víctima para que abra un archivo falso de Microsoft Access.
Plan de descontinuación de NTLM
Microsoft, en octubre de 2023, anunció planes para descontinuar NTLM en Windows 11 en favor de Kerberos. Esta decisión se tomó con el objetivo de mejorar la seguridad debido a que NTLM no admite métodos criptográficos y es susceptible a ataques de retransmisión.