Violaciones de seguridad de día cero de noviembre de 2024

• CVE-2024-43451: NTLM: divulgación de hash

• CVE-2024-49039: Programador de tareas de Windows: escalada de privilegios

• CVE-2024-49040: Microsoft Exchange Server: suplantación de identidad

• CVE-2024-49019: Servicios de certificados de Active Directory: escalada de privilegios

Actualizaciones de noviembre de 2024 de Windows 10 y Windows 11

​​

Violaciones de seguridad de día cero de noviembre de 2024

​

Analicemos en detalle las vulnerabilidades de seguridad de día cero presentes en este martes de parches. Son 4 en total y entre ellos 2 ya están siendo explotados en ataques.

​

CVE-2024-43451 : NTLM: divulgación de hash

 

Al explotar esta vulnerabilidad, un atacante remoto puede obtener acceso al hash NTLM de un usuario mediante un archivo malicioso . " Esta vulnerabilidad revela el hash NTLMv2 de un usuario al atacante, quien puede usarlo para autenticarse como usuario ", explica Microsoft.

​

También se proporcionan detalles sobre la explotación de esta vulnerabilidad: " Una interacción mínima con un archivo malicioso por parte de un usuario, como seleccionar (un solo clic), inspeccionar (hacer clic con el botón derecho) o realizar una acción distinta de abrir o ejecutar, podría desencadenar esta vulnerabilidad ".

​

Microsoft dice que esta vulnerabilidad ha sido aprovechada en ataques cibernéticos . Afecta a Windows 10, Windows 11, así como desde Windows Server 2008 a Windows Server 2025.

​

CVE-2024-49039 : Programador de tareas de Windows: escalada de privilegios

​

También explotada en ataques, esta vulnerabilidad se encuentra en un componente disponible en Windows y Windows Server: el Programador de tareas . Microsoft explica que un atacante autenticado debe ejecutar una aplicación especialmente diseñada en el sistema objetivo y explotar la vulnerabilidad para elevar sus privilegios .

​

" Un atacante que aproveche con éxito esta vulnerabilidad puede ejecutar funciones RPC que están restringidas únicamente a cuentas privilegiadas ", podemos leer. Microsoft indica que el ataque se puede realizar desde un AppContainer con un nivel bajo de privilegios (aislamiento de aplicaciones).

Afecta a Windows 10, Windows 11, así como a Windows Server 2016 hasta Windows Server 2025.

​

CVE-2024-49040 : Microsoft Exchange Server: suplantación de identidad

​

Microsoft ha solucionado una vulnerabilidad de seguridad conocida, pero no explotada, en su solución Microsoft Exchange. Permite a los atacantes falsificar la dirección de correo electrónico del remitente en correos electrónicos dirigidos a destinatarios locales.

​

" La vulnerabilidad se debe a la implementación actual de la verificación de encabezados FROM P2, que tiene lugar en el transporte. La implementación actual permite que ciertos encabezados FROM P2 que no cumplen con RFC 5322 pasen, lo que puede llevar al cliente de correo electrónico (por ejemplo, Microsoft Outlook) que muestra un remitente falsificado como si fuera legítimo ”, leemos en el sitio web de Microsoft .

​

El nuevo parche permitirá a Exchange Server detectar e informar correos electrónicos con un encabezado P2 FROM malicioso.

​

Las siguientes versiones se ven afectadas:

• Actualización acumulativa 14 de Microsoft Exchange Server 2019

• Actualización acumulativa 13 de Microsoft Exchange Server 2019

• Actualización acumulativa 23 de Microsoft Exchange Server 2016

​​

CVE-2024-49019 : Servicios de certificados de Active Directory: escalada de privilegios

​

Microsoft ha solucionado una vulnerabilidad de seguridad en la función Windows Server AD CS . Como recordatorio, le permite crear autoridades de certificación en Windows Server. Esta vulnerabilidad, ya revelada , pero no explotada hasta la fecha , permite a los atacantes obtener privilegios de administrador de dominio abusando de las plantillas de certificado predeterminadas de la versión 1.

​

" Compruebe si ha publicado certificados creados utilizando una plantilla de certificado versión 1 en la que la fuente del nombre del sujeto está configurada en "Proporcionado a solicitud" y los permisos de inscripción se otorgan a un conjunto más amplio de cuentas, como usuarios de dominio o computadoras de dominio ", Microsoft dice.

​

Su AD CS es potencialmente vulnerable si los permisos otorgados a los modelos no son lo suficientemente restrictivos. Un informe publicado por los investigadores de TrustedSec , que hicieron este descubrimiento, afirma: " Utilizando las plantillas de certificado integradas de la versión 1 predeterminada, un atacante puede crear una CSR para incluir políticas de aplicación que sean preferidas a los atributos de uso extendido de claves especificados en la plantilla. El único requisito son los derechos de registro y se puede utilizar para generar la autenticación del cliente .

Este fallo de seguridad afecta desde Windows Server 2008 hasta Windows Server 2025.

​

​

​

Fuente