La vulnerabilidad de día cero (CVE-2022-34713), que afecta a la Herramienta de Diagnóstico de Soporte de Microsoft Windows (MDST), es una variante de “Dogwalk” y se encuentra entre las correcciones más notables de este mes.
Con una calificación de 7,8 en la escala de gravedad CVSSv3, puede explotarse engañando a la víctima para que abra un documento malicioso mediante phishing por correo electrónico o a través de un sitio web controlado por el atacante que aloje un archivo malicioso.
Dogwalk concitó atención en mayo de 2022, pero se remonta a un descubrimiento inicial en 2020. Fue bautizado “perezosamente” por un investigador de seguridad que estaba paseando a su perro en el momento en que se le pidió que lo nombrara, según él mismo explicó.
La vulnerabilidad en sí misma es un fallo de cruce de rutas en MDST que afecta a los dispositivos con Windows 7 o más recientes. Para aprovecharla, los objetivos tienen que infectarse con un archivo .diagcab malicioso que coloca la carga útil en la carpeta de inicio de Windows y la ejecuta cuando el usuario vuelve a iniciar sesión, según un análisis de SOC Prime.
Este mes también se ha parcheado otro fallo RCE en MDST (CVE-2022-35743), pero no se ha encontrado una explotación activa y, por tanto, no puede considerarse un zero-day.
Microsoft clasificó 17 de las vulnerabilidades ahora parcheadas como “críticas”, ya que facilitaban la elevación de privilegios y el RCE.
El martes de parches de agosto es la segunda ronda de actualizaciones más importante de 2022, por detrás de la de abril, que corrigió 145 fallos diferentes.
CVE-2022-30133 y CVE-2022-35744 recibieron una calificación de 9,8/10,0 en la escala CVSSv3 y también fueron clasificadas como “críticas” por Microsoft, ya que el RCE podía conseguirse sin necesidad de intervención alguna del usuario.
En ambos casos, un atacante no autentificado podría enviar una solicitud de conexión especialmente diseñada a un servidor de acceso remoto (RAS), según Microsoft, lo que podría llevar a un RCE en la máquina del servidor RAS.
El resto de las vulnerabilidades calificadas como graves, según la clasificación de Microsoft, quedaron todas por debajo del umbral “crítico” de la escala CVSSv3, ya que no requieren la intervención del usuario para explotarlas.
Los fallos restantes afectaban a lo siguiente: Servicios de dominio de Active Directory, Protocolo de túnel de sockets seguros de Windows, Windows Hyper-V, Cliente y servidor SMB y Microsoft Exchange Server.
La lista completa de vulnerabilidades corregidas puede consultarse en el sitio de Microsoft.
