El experto en seguridad informática Joe Tammariello, del Instituto de Ingeniería de Software de la universidad Carnegie Mellon, ha descubierto una nueva vulnerabilidad sin parchear en el Protocolo de Escritorio Remoto (RDP) de Microsoft Windows.
El fallo se produce cuando una máquina con Windows, que ejecuta una sesión RDP, es bloqueada temporalmente. Si se produce una interrupción de la red de forma temporal, la reconexión automática regresa la sesión a un estado de desbloqueo, sin tomar en cuenta el estado del sistema antes de la interrupción.
Img 1 Pantalla de bloqueo en equipo Windows 10
Los productos de Windows que se ven afectados por esta vulnerabilidad son: Windows 10 a partir de la versión 1803 y Windows Server 2019, ambos implementan autenticación a nivel de red (NLA), que es la que hace posible que Windows sea vulnerable a este bypass.
El CERT/CC indica cual podría ser el escenario de ataque mediante esta vulnerabilidad.
- Un usuario se conecta a un sistema remoto Windows 10 (1803 o posterior) o a Windows Server 2019, mediante RDP.
- El usuario bloquea la sesión de escritorio remoto (Windows 10 o Windows Server 2019).
- El usuario permite el acceso físico a un atacante del equipo que se utiliza como cliente RDP.
El atacante podría aprovecharse de la vulnerabilidad e interrumpir temporalmente la conexión de red del cliente RDP, con el sistema remoto. Esto provoca que el cliente se reconecte de forma automática, con lo que se consigue el bypass del sistema remoto y logra saltarse la pantalla de bloqueo de Windows. Cabe destacar que explotando esta vulnerabilidad, se puede saltar un segundo factor de autenticación en la pantalla de bloqueo que pueda tener el sistema remoto, como es Duo Security MFA, entre otros.
DEMO
Img 2 Sistema con Windows 10 (1809) conectado por RDP
Img 3 Bloqueo de sistema con Windows 10 (1809) conectado por RDP
Img 4 Pantalla de bloqueo de sistema con Windows 10 (1809) conectado por RDP
Img 5 Interrupción de la conexión RDP con el sistema con Windows 10 (1809)
Img 6 Bypass de pantalla de bloqueo después de la reconexión en Windows 10 (1809) conectado por RDP
El 19 de Abril del 2019 Microsoft fue comunicado el fallo, ante lo que la empresa respondió que “el comportamiento no cumple con los Criterios de Servicio de Seguridad de Microsoft para Windows”. Por lo que por el momento, no existirá ningún parche por parte de Microsoft.
Os dejamos un vídeo publicado por Leandro Velasco, donde muestra el proceso:
No hay comentarios:
Publicar un comentario