Pesquisadores de cibersegurança divulgaram detalhes sobre uma falha de segurança no MSHTML do Windows, que agora foi corrigida, mas que poderia ser explorada para contornar proteções de integridade em máquinas específicas.
A vulnerabilidade, rastreada como
CVE-2023-29324
(pontuação CVSS: 6.5), foi descrita como uma falha de segurança de contorno de recurso.
A Microsoft a corrigiu como parte de suas atualizações de Patch Tuesday para maio de 2023.
O pesquisador de segurança da Akamai, Ben Barnea, que descobriu e relatou o bug, observou que todas as versões do Windows são afetadas, mas destacou que os servidores do Exchange da Microsoft com a atualização de março omitem o recurso vulnerável.
"Um atacante não autenticado na internet poderia usar a vulnerabilidade para coagir um cliente do Outlook a se conectar a um servidor controlado pelo atacante", disse Barnea em um relatório compartilhado com o The Hacker News.
"Isso resulta no roubo de credenciais NTLM.
É uma vulnerabilidade de zero-click, o que significa que pode ser acionada sem interação do usuário".
Também vale ressaltar que o
CVE-2023-29324
é um contorno para uma correção que a Microsoft implementou em março de 2023 para resolver a
CVE-2023-23397
, uma falha crítica de escalonamento de privilégios no Outlook que a empresa disse ter sido explorada por atores de ameaças russos em ataques direcionados a entidades europeias desde abril de 2022.
A Akamai disse que o problema decorre do tratamento complexo de caminhos no Windows, permitindo que um atacante crie um URL malicioso que possa contornar verificações de zona de segurança na internet.
"Essa vulnerabilidade é mais um exemplo de análise crítica de patches levando a novas vulnerabilidades e contornos", disse Barnea.
"É uma superfície de ataque de análise de mídia zero-click que pode potencialmente conter vulnerabilidades críticas de corrupção de memória."
Para ficar totalmente protegido, a Microsoft está recomendando aos usuários que instalem as atualizações cumulativas do Internet Explorer para abordar vulnerabilidades na plataforma MSHTML e no mecanismo de script.
Publicidade
O mais completo curso de Pentest e Hacking existente no Brasil, ministrado por instrutores de referência no mercado. Oferece embasamento sólido em computação, redes, Linux e programação. Passe por todas as fases de um Pentest utilizando ambientes realísticos. Se prepare para o mercado através da certificação SYCP. Saiba mais...