Identificado por CVE-2019-9510, la reciente vulnerabilidad reportada podría permitir a los atacantes del lado del cliente eludir la pantalla de bloqueo en las sesiones de escritorio remoto (RDP), la cual aún no ha sido parcheada.
La falla se origina cuando la función de Escritorio Remoto de Microsoft Windows requiere que los clientes se autentiquen por NLA (Autenticación de Nivel de Red), una función que Microsoft recomendó recientemente como una solución contra la vulnerabilidad crítica BlueKeep.
A continuación, el experto a cargo de la investigación, mediante un video PoC (Proof of concept), que demuestra lo sencillo que es explotar esta vulnerabilidad.
El escenario de ataque se describe de la siguiente manera:
- Un usuario específico se conecta a un sistema Windows 10 o Server 2019 a través de RDS (Remote Desktop Services).
- El usuario bloquea la sesión remota y deja el dispositivo cliente sin supervisión.
- En este punto, un atacante con acceso al dispositivo cliente puede interrumpir su conectividad de red y obtener acceso al sistema remoto sin necesidad contar con las credenciales.
Esto significa que explotar esta vulnerabilidad es bastante “trivial”, ya que el atacante solo necesita interrumpir la conectividad de la red de un sistema específico, sin embargo, dado que el atacante requiere acceso físico al sistema (es decir, una sesión activa con pantalla bloqueada), el escenario en sí limita la superficie de ataque en gran medida.
El investigador notificó la falla el pasado 19 de abril, pero la compañía respondió diciendo que "el comportamiento no cumple con los Criterios de Servicio de Seguridad de Microsoft para Windows", lo que significa que el gigante tecnológico no tiene planes de solucionar el problema a corto plazo, la declaración completa es:
Después de investigar este escenario, hemos determinado que este comportamiento no cumple con los Criterios de servicio de seguridad de Microsoft para Windows. Lo que está observando es Windows Server 2019 que respeta la autenticación de nivel de red (NLA). La autenticación de nivel de red requiere credenciales de usuario para permitir que la conexión proceda en la fase más temprana de conexión. Estas mismas credenciales se utilizan para registrar al usuario en una sesión (o para volver a conectarlo). Mientras esté conectado, el cliente almacenará en caché las credenciales utilizadas para la conexión y las reutilizará cuando necesite volver a conectarse automáticamente (para que pueda pasar por alto el NLA).
La recomendación directa hacia los usuarios para protegerse contra esta vulnerabilidad es bloquear el sistema de forma local en lugar de hacerlo conectado vía remota, desconectando las sesiones de escritorio remoto.
REFERENCIA
COMENTARIOS