La vulnerabilidad clasificada como CVE-2018-0950 permite a un atacante poder robar información sensible del usuario, incluyendo las credenciales de acceso, solo con pre visualizar un correo electrónico, y sin otra interacción mas de la victima.
La vulnerabilidad descubierta por Will Dorman, en el centro de coordinación del CERT (CERT/CC), reside en la manera en que Microsoft Outlook, maneja contenido OLE, almacenado remotamente cuando un archivo de Texto Enriquecido (RTF), es previsualizado en un correo electrónico, ya que este se conecta inmediatamente mediante SMB.
Desde que Microsoft Outlook reproduce contenido OLE, este de manera automática realiza la autenticación con el destino, y si el atacante controla el dispositivo remoto, podría visualizar información como el nombre de usuario de la victima, la versión del HASH NTLMv2 de la contraseña, permitiendo potencialmente obtener acceso al sistema de la victima.
"Esto puede filtrar la dirección IP del usuario, el nombre de dominio, el nombre de usuario, el nombre de host y el hash de la contraseña. Si la contraseña del usuario no es lo suficientemente compleja, entonces un atacante puede descifrar la contraseña en un corto período de tiempo". CERT explicaAhora en abril de este año publicaron los parches necesarios para que Outlook no realice esta negociación de manera automática, pero según el investigador, el parche no es suficiente para poder evitar explotar esta vulnerabilidad, ya que si un usuario se le convence de hacer click en un link que tenga como objetivo conectarse a una carpeta de un servidor en particular, podría explotarse la vulnerabilidad de igual manera.
Recomendaciones.
Como la vulnerabilidad se explota mediante la autenticación con SMB y NTLM se recomienda lo siguiente:- Lo mas obvio pero importante es, instalar los parches liberados por Microsoft para esta vulnerabilidad.
- Evitar utilizar elementos OLE en los correos electrónicos.
- Realizar el bloqueo de puertos 445,137, 139 TCP, 137 y 139 UDP hacia el perímetro.
- Evitar configurar o bloquear en caso de que ya este implementado la autenticación por NTLM en el uso de SSO.
