Se ha reportado un nuevo aviso de seguridad sobre una vulnerabilidad del tipo use-after-free que permitiría la elevación de privilegios (EoP) cuando se ejecutan documentos con código malicioso especialmente diseñados.
Productos Afectados:
La vulnerabilidad afecta a cualquier proyecto de Microsoft .NET Core en las siguientes versiones.
- .NET 6.0 (< = 6.0.28 )
- .NET 7.0 (<= 7.0.17)
- .NET 8.0 (<= 8.0.3)
CVE-2024-21409: Se ha asignado una puntuación en CVSSv3 de 7.3, con una severidad alta. La vulnerabilidad se refiere a la ejecución remota de código (RCE), a pesar de que el vector de ataque se clasifica como local. La designación «remoto» en el título se relaciona con la ubicación del atacante, mientras que la explotación real ocurre a nivel local, lo que implica que un actor malicioso o víctima debe ejecutar el documento con código malicioso, desde la máquina local para explotar la vulnerabilidad. Un actor malicioso podría aprovechar esta vulnerabilidad al iniciar sesión en el sistema y ejecutar una aplicación especialmente diseñada para tomar el control del sistema afectado. Alternativamente, el actor malicioso podría persuadir a un usuario local para que ejecute el documento malicioso, generalmente a través de técnicas de ingeniería social.
Recomendación:
Para mitigar la vulnerabilidad, aplique el parche de actualización liberado según Microsoft para su versión de .NET 8.0 o .NET 7.0 o .NET 6.0.
Referencias:
- https://github.com/dotnet/announcements/issues/303
- https://msrc.microsoft.com/update-guide/pt-br/vulnerability/CVE-2024-21409