A Agência de Segurança Cibernética e de Infraestrutura (CISA), uma agência de cibersegurança sediada nos Estados Unidos, adicionou uma falha de elevação de privilégio de alta gravidade no Microsoft Streaming Service ao seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) na última quinta-feira, 29 de fevereiro. De acordo com a agência, a exploração ainda está ativa no ambiente online.
O Microsoft Streaming Service é uma parte significativa do sistema operacional Windows. Representa um serviço de sistema que permite aos usuários do Windows transmitir vídeo e áudio por meio de uma rede de aplicativos de jogos e multimídia. Também é comumente utilizado por software de videoconferência.
🛡️ Microsoft Streaming Service users: We added #CVE-2023-29360 to our Known Exploited Vulnerabilities Catalog. Visit https://t.co/myxOwap1Tf & apply mitigations to protect your org from cyberattacks. #Cybersecurity #InfoSec pic.twitter.com/b1qClLDXwQ
— CISA Cyber (@CISACyber) March 1, 2024
Detalhes sobre a vulnerabilidade
Segundo a agência, o problema é conhecido como CVE-2023-29360 (com uma pontuação CVSS de 8,4). Originalmente, foi corrigido em junho de 2023 no Windows 10 e 11. O mesmo se aplica ao Windows Server 2016, 2019 e 2022. Agora, de acordo com a CISA, o problema permite que invasores obtenham privilégios de Sistema em máquinas-alvo.
A entrada da agência no catálogo KEV diz:
O Microsoft Streaming Service contém uma vulnerabilidade de referência de ponteiro não confiável que permite a escalada de privilégios, possibilitando que um atacante local obtenha privilégios de Sistema.
Embora a CISA tenha observado que a exploração está ativa e útil para atores mal-intencionados, ela não forneceu informações sobre ataques específicos. A agência observou que não há evidências de que grupos de ransomware estão mirando CVE-2023-29360 neste momento. Isso também está de acordo com o aviso da Microsoft em junho de 2023, que apontou a falha, mas também a listou como "não explorada".
Dito isso, um código de Prova de Conceito (PoC) que visa o driver MSKSSRV-SYS para explorar a falha está disponível há cerca de seis meses. No entanto, mesmo com a disponibilidade do código de Prova de Conceito (PoC) e a intervenção da CISA, ninguém relatou a exploração da vulnerabilidade até agora.
Órgãos federais e organizações privadas instados a corrigir a falha
Dado o fato de a CISA ter adicionado a vulnerabilidade à lista KEV, agências federais dos EUA têm até 21 de março para corrigi-la. A razão para isso é o prazo de três semanas para identificar e corrigir uma nova falha de segurança após ela entrar na lista KEV. Isso é uma prioridade agora, conforme ditado pela Diretiva Operacional Obrigatória (BOD) 22-01. O prazo de três semanas começou no momento em que a falha foi adicionada à lista.
Portanto, a CISA instruiu as agências do Poder Executivo Civil Federal dos EUA (FCEB) a garantirem a proteção de seus sistemas Windows contra uma falha que poderia ser explorada em possíveis ataques.
Enquanto isso, a agência de cibersegurança instou todas as organizações a criar e aplicar rapidamente patches para quaisquer vulnerabilidades adicionadas ao catálogo KEV.
Embora a CISA utilize principalmente o catálogo KEV para alertar as agências federais sobre falhas de segurança significativas que requerem atenção imediata, instamos também as organizações privadas a dar prioridade à correção dessas vulnerabilidades. Observamos que todas elas apresentam um risco significativo e provavelmente serão alvo de comprometimento em breve se não forem corrigidas.
Enquanto isso, o porta-voz da Microsoft afirmou que a empresa lançou uma correção para CVE-2023-29360 em junho de 2023. Isso significa que todos os clientes que instalaram as últimas atualizações ou têm as atualizações automáticas habilitadas já estão protegidos contra a falha.
Os que estão em perigo são aqueles que desativaram as atualizações automáticas. Como preferem realizar suas atualizações manualmente, mas, por algum motivo, não as instalaram.
Ataques do malware Raspberry Robin usaram a falha desde agosto
No mês passado, a empresa de cibersegurança americano-israelense Check Point forneceu algumas informações adicionais sobre o CVE-2023-29360. Ela afirmou que os ataques do malware Raspberry Robin têm explorado essa falha desde agosto do ano passado. Isso aconteceu apenas dois meses depois de sua divulgação pública em junho do mesmo ano.
Beware of Stealthy Raspberry Robin That Delivered as a Windows Component @the_cyber_news
📌 Exploited 0-days like CVE-2023-36802
📌 Exploits Microsoft Streaming Service CVE-2023-29360— Cyber Security News (@The_Cyber_News) February 13, 2024
"Mesmo que esta seja uma vulnerabilidade bastante fácil de explorar, o fato de o autor do exploit ter um exemplo funcional antes que houvesse um exploit conhecido no GitHub é impressionante, assim como a rapidez com que o Raspberry Robin a utilizou", acrescentou a empresa.