BlueKeep Exploit ya se encuentra agregado a Metasploit

Un exploit público inicial dirigido a la vulnerabilidad BlueKeep recientemente tratada en Microsoft Windows se ha agregado al marco Metasploit de Rapid7.

Rastreado como CVE-2019-0708 , la vulnerabilidad dirigida fue tratada por Microsoft con sus actualizaciones del martes de parches de mayo de 2019 . En cuestión de semanas, los investigadores de seguridad observaron los primeros escaneos para detectar la falla , y no pasó mucho tiempo para que surgieran los ataques dirigidos a ella.

También se descubrió que los productos industriales y médicos estaban en riesgo. Los investigadores de seguridad también descubrieron que la tasa a la que los administradores estaban parcheando los sistemas había disminuido significativamente después de solo unos meses, con más de 750,000 sistemas aún vulnerables a mediados de agosto.

Comúnmente conocido como BlueKeep , la vulnerabilidad es un error remoto de uso libre del núcleo que afecta el Protocolo de escritorio remoto de Windows. Los atacantes podrían abusar de la falla para ejecutar código arbitrario y hacerse cargo de una máquina vulnerable enviando solicitudes especialmente diseñadas a través de RDP. 

“El controlador RDP termdd.sys maneja incorrectamente los enlaces al canal interno MS_T120, lo que permite que un mensaje de Indicación de proveedor de desconexión con formato incorrecto provoque un uso libre. Con un aerosol de grupo no paginado remoto de datos / tamaño controlable, se utiliza un dispositivo de llamada indirecta del canal liberado para lograr la ejecución de código arbitrario ”, explica Rapid7. 

Disponible en código abierto , el módulo Metasploit recién agregado se transfirió de un módulo externo de Python a un Ruby nativo para aprovechar el RDP y otras mejoras de la biblioteca en el marco. 

Por el momento, el módulo apunta a versiones de 64 bits de Windows 7 y Windows Server 2008 R2. Para este último, una “entrada de registro necesita ser modificada para permitir la limpieza del montón a través del canal RDPSND”, pero también se pueden usar canales alternativos habilitados por defecto en Windows, si se investiga. 

Por el momento, el usuario debe proporcionar información de destino adicional para usar el módulo; de lo contrario, el host de destino podría bloquearse. 

“El módulo implementa una opción TARGET predeterminada de solo huellas dactilares que solo busca un host vulnerable y muestra información inicial sobre el sistema operativo objetivo específico, pero el usuario deberá especificar un objetivo más exacto basado en el reconocimiento secundario, o hasta que se realicen mejoras adicionales en este módulo permite una determinación más precisa del diseño de la memoria del núcleo de destino en tiempo de ejecución “, señala Rapid7. 

Si bien existen objetivos específicos para el bare metal, Virtualbox, VMware e Hyper-V, las variables adicionales en los entornos de destino pueden cambiar la dirección de base para la preparación, según la compañía. 

fuente:securityweek.com

Comments are closed.