Una vulnerabilidad en Microsoft Outlook permitía a los piratas informáticos robar la contraseña de Windows de un usuario simplemente haciendo que la vista previa de destino fuera un archivo adjunto con un formato de texto enriquecido (RTF) que contenía un objeto OLE hospedado remotamente.
El error fue reparado por Microsoft como parte de las correcciones del parche de abril , más de un año después de que se identificara por primera vez.
«Al convencer a un usuario de previsualizar un mensaje de correo electrónico RTF con Microsoft Outlook, un atacante remoto no autenticado puede obtener la dirección IP, nombre de dominio, nombre de usuario, nombre de host y contraseña de la víctima», de acuerdo con la descripción CERT de la vulnerabilidad, encontrada por Will Dormann, investigador del CERT Coordination Center.
A continuación, Dormann pudo descifrar hash de contraseñas fuera de línea.
La vulnerabilidad ( CVE-2018-0950 ) está ligada a cómo funciona la automatización de vinculación e incrustación de objetos (OLE) en el contexto de archivos .RTF. OLE es un protocolo de Windows que permite a las aplicaciones compartir datos. Por ejemplo, OLE permite que un autor de un documento incruste contenido, como imágenes y sonidos, desde un programa en documentos de Microsoft Office como objetos.
La técnica de Dormann también usó el protocolo Windows Server Message Block (SMB). SMB permite acceder a un archivo en un servidor remoto de forma similar a cómo se puede acceder a un archivo en un disco local, escribió en una publicación que describe su investigación .
Como Outlook incluye la capacidad de enviar mensajes de correo electrónico de texto enriquecido (RTF), Dormann pudo insertar un objeto (RTF) en el mensaje de correo electrónico compuesto en Outloook. El objeto estaba alojado en un servidor remoto.
«Los documentos RTF (incluidos los mensajes de correo electrónico) pueden incluir objetos OLE. Debido a SMB, los objetos OLE pueden vivir en servidores remotos «, escribió Dormann. «Con un correo electrónico de texto enriquecido (RTF), el objeto OLE se carga sin interacción del usuario» cuando el destinatario del correo electrónico visualiza el mensaje en Outlook.
Microsoft ha intentado durante mucho tiempo evitar que las imágenes se carguen automáticamente en Outlook debido al riesgo de privacidad de los errores web. Los errores web a veces se denominan señales de seguimiento y son utilizadas por los remitentes de correo electrónico para recopilar los metadatos del usuario receptor, como la dirección IP del sistema y el momento en que se ve una misiva.
Microsoft no permite que los mensajes de Outlook con formato Word y HTML muestren automáticamente OLE u otro contenido a menos que el usuario lo permita. La laguna que encontró Dormann es con documentos RTF y metadatos transmitidos a través del canal SMB.
Usando el Wireshark, el analizador de paquetes de código abierto y gratuito, el investigador pudo identificar la dirección IP de la víctima, el nombre de dominio, el nombre de usuario y el hash de contraseñas de Microsoft LAN Manager (NTLMv2).
«Un objeto OLE remoto en un mensaje de texto enriquecido funciona como un error en la web con esteroides», escribió Dormann.
La vulnerabilidad existe porque Outlook procesa automáticamente el contenido OLE e inicia una autenticación automática con el servidor remoto controlado del atacante a través del protocolo SMB utilizando un inicio de sesión único. Eso expone el hash de la contraseña de Windows de la persona que inició sesión en la PC.
Microsoft notificó la vulnerabilidad en noviembre de 2016 por Dormann, hace más de un año.
El parche de Microsoft ( CVE-2018-0950 ) impide que Outlook inicie automáticamente las conexiones SMB cuando se obtiene una vista previa de un correo electrónico RTF. Pero los investigadores de CERT sugieren que la solución podría ser mejor.
«Tenga en cuenta que otras técnicas que requieren interacción adicional del usuario seguirán funcionando después de instalar este parche. Por ejemplo, si un correo electrónico contiene un enlace UNC, como \\ atacante \ foo, Outlook hará que este enlace se pueda hacer clic automáticamente. Si un usuario hace clic en dicho enlace, el impacto será el mismo que con esta vulnerabilidad «, advierte el aviso CERT.
La mitigación sugerida incluye bloquear el Administrador de LAN de Windows NT desde la autenticación de inicio de sesión único y aplicar una política que obligue a los usuarios a adoptar contraseñas complejas, resistentes a las grietas.
Fuente: Threatpost
Danos tu reacción
0
0
0
0
0
