Vulnerabilitate identificată în Windows File Explorer

O vulnerabilitate de securitate în Windows File Explorer, CVE-2024-38100, a fost exploatată în mod activ, stârnind alarmă în întreaga comunitate de securitate cibernetică.

Această vulnerabilitate, clasificată ca o eroare EoP (Elevation of Privilege), permite atacatorilor să obțină acces la nivel de administrator la sistemele afectate.

Vulnerabilitatea constă într-un obiect Distributed Component Object Model (DCOM) din cadrul procesului Windows File Explorer.

Mai exact, instrumentul DCOM ShellWindows (CLSID {9BA05972-F6A8-11CF-A442-00A0C90A8F39}) este configurat să ruleze în același context de securitate ca și utilizatorul conectat.

Setările necorespunzătoare privind controlul accesului au permis atacatorilor să exploateze această vulnerabilitate atunci când File Explorer funcționa la un nivel ridicat de integritate.

Prin valorificarea COM Cross-Session Activation, atacatorii ar putea crea un obiect ShellWindows într-o sesiune elevată, cum ar fi cea a unui administrator, se specifică în raportul de analiză.

Folosind metode precum ShellExecute, atacatorii își pot spori privilegiile și pot executa comenzi arbitrare sau lansa reverse shells.

Vulnerabilității i-a fost atribuit un scor CvSS de 7.8/10, ceea ce denotă un grad de severitate high.

Exploatarea acesteia ar putea duce la:

• Acces neautorizat la fișiere confidențiale și resurse de sistem;
• Instalarea de software malițios;
• Modificări ale sistemului sau compromiterea completă a sistemului.

Complexitatea atacului este redusă, necesitând doar acces local la sistemul țintă. În iulie 2024, a fost dezvăluit public un exploit de tip proof-of-concept, ceea ce crește și mai mult riscul de exploatare.

Vulnerabilitatea afectează mai multe versiuni ale Windows Server:

• Windows Server 2016: Versiuni anterioare 10.0.14393.7159;
• Windows Server 2019: Versiuni anterioare 10.0.17763.6054;
• Windows Server 2022: Versiuni anterioare 10.0.20348.2582;
• Windows Server 2022 (23H2): Versiuni anterioare 10.0.25398.1009.

Exploatarea CVE-2024-38100 subliniază importanța măsurilor proactive de securitate și a gestionării la timp a patch-urilor.

Sursă: https://cybersecuritynews.com/windows-file-explorer-vulnerability-exploited/