09 de agosto de 2024Ravie LakshmananVulnerabilidad / Seguridad de la red Microsoft reveló el jueves cuatro fallas de seguridad de gravedad media en el software de código abierto OpenVPN que podrían encadenarse para lograr la ejecución remota de código (RCE) y la escalada de privilegios locales (LPE). «Esta cadena de ataques podría permitir a los atacantes obtener el control total sobre los puntos finales específicos, lo que podría resultar en violaciones de datos, compromiso del sistema y acceso no autorizado a información confidencial», dijo Vladimir Tokarev de la Comunidad de Inteligencia de Amenazas de Microsoft. Dicho esto, el exploit, presentado por Black Hat USA 2024, requiere la autenticación del usuario y una comprensión avanzada del funcionamiento interno de OpenVPN. Las fallas afectan a todas las versiones de OpenVPN anteriores a la versión 2.6.10 y 2.5.10. La lista de vulnerabilidades es la siguiente: CVE-2024-27459: una vulnerabilidad de desbordamiento de pila que conduce a una denegación de servicio (DoS) y LPE en Windows CVE-2024-24974: acceso no autorizado a la tubería con nombre «\\openvpn\\service» en Windows, lo que permite a un atacante interactuar de forma remota con ella y lanzar operaciones en ella CVE-2024-27903: una vulnerabilidad en el mecanismo del complemento que conduce a RCE en Windows, y LPE y manipulación de datos en Android, iOS, macOS y BSD CVE-2024-1305: una vulnerabilidad de desbordamiento de memoria que conduce a DoS en Windows Las primeras tres de las cuatro fallas tienen su raíz en un componente llamado openvpnserv, mientras que la última reside en el controlador del punto de acceso de terminal (TAP) de Windows. Todas las vulnerabilidades pueden ser explotadas una vez que un atacante obtiene acceso a las credenciales OpenVPN de un usuario, que, a su vez, podrían obtenerse a través de varios métodos, incluyendo la compra de credenciales robadas en la dark web, utilizando malware ladrón o espiando el tráfico de red para capturar hashes NTLMv2 y luego utilizando herramientas de cracking como HashCat o John the Ripper para decodificarlos. Un atacante podría entonces ser encadenado en diferentes combinaciones – CVE-2024-24974 y CVE-2024-27903 o CVE-2024-27459 y CVE-2024-27903 – para lograr RCE y LPE, respectivamente. «Un atacante podría aprovechar al menos tres de las cuatro vulnerabilidades descubiertas para crear exploits para facilitar RCE y LPE, que luego podrían encadenarse para crear una poderosa cadena de ataque», dijo Tokarev, añadiendo que podrían aprovechar métodos como Bring Your Own Vulnerable Driver (BYOVD) después de lograr LPE. «Mediante estas técnicas, el atacante puede, por ejemplo, desactivar Protect Process Light (PPL) para un proceso crítico como Microsoft Defender o eludir e interferir en otros procesos críticos del sistema. Estas acciones permiten a los atacantes eludir los productos de seguridad y manipular las funciones principales del sistema, lo que afianza aún más su control y evita ser detectado». ¿Te resultó interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.