Microsoft March 2023 Patch Tuesday corrige 2 días cero, 83 defectos

CVE-2023-23397: vulnerabilidad de elevación de privilegios en Microsoft Outlook

Microsoft ha corregido un error de elevación de privilegios de Microsoft Outlook que permite que los correos electrónicos especialmente diseñados obliguen al dispositivo de un destino a conectarse a una dirección URL remota y transmitir el hash Net-NTLMv2 de la cuenta de Windows.

«Los atacantes externos podrían enviar correos electrónicos especialmente diseñados que causarán una conexión de la víctima a una ubicación UNC externa del control de los atacantes. Esto filtrará el hash Net-NTLMv2 de la víctima al atacante, quien luego puede transmitirlo a otro servicio y autenticarse como la víctima», se lee en el aviso de Microsoft.

Microsoft advierte que esta falla se activará antes de que se lea en el panel de vista previa, ya que la vulnerabilidad «se activa automáticamente cuando el servidor de correo electrónico la recupera y procesa».

En un informe privado de análisis de amenazas visto por BleepingComputer, Microsoft dice que esta vulnerabilidad de Outlook fue explotada por STRONTIUM, un grupo de piratería ruso patrocinado por el estado.

Usando esta vulnerabilidad, los actores de amenazas reunieron los hashes NTLM del objetivo para violar las redes de las víctimas, donde los actores de amenazas robaron correos electrónicos para cuentas específicas.

Esta vulnerabilidad fue revelada por CERT-UA, Microsoft Incident, Microsoft Threat Intelligence (MSTI).

CVE-2023-24880: vulnerabilidad de omisión de la característica de seguridad SmartScreen en Windows

Microsoft ha corregido una vulnerabilidad de día cero explotada activamente en Windows SmartScreen que se puede usar para crear ejecutables que omitan la marca de Windows de la advertencia de seguridad web.

«Un atacante puede crear un archivo malicioso que evadiría las defensas de la Marca de la Web (MOTW), lo que resulta en una pérdida limitada de integridad y disponibilidad de características de seguridad como Vista protegida en Microsoft Office, que dependen del etiquetado MOTW», se lee en el aviso de Microsoft.

Esta vulnerabilidad fue descubierta por el Grupo de Análisis de Amenazas de Google, que la vio explotada por la operación de ransomware Magniber.

Después de analizar la vulnerabilidad, Google TAG determinó que era un bypass a un CVE-2022-44698 anterior explotado por Magniber y corregido por Microsoft en diciembre.

Al explotar el CVE-2022-44698, los actores de amenazas utilizaron archivos JavaScript (.JS) firmados independientes con una firma con formato incorrecto. Este error provocó que Windows SmartScreen generara un error y omitiera las advertencias de MoTW.

Después de que Microsoft corrigió CVE-2022-44698 en diciembre, Google descubrió que la operación Magniber cambió al uso de firmas authenticode con formato incorrecto en archivos MSI para omitir la corrección.

Google explicó que esta omisión fue causada por Microsoft arreglando solo el abuso de archivos JavaScript reportado inicialmente en lugar de corregir la causa raíz del error.

Microsoft dice que la vulnerabilidad fue revelada por Benoît Sevens y Vlad Stolyarov del Grupo de Análisis de Amenazas de Google y Bill Demirkapi de Microsoft.

Fuente: https://www.bleepingcomputer.com