CVE-2022-30190 Ejecución remota de código en Microsoft Windows Support Diagnostic Tool (MSDT)

EXPLOTADA ACTIVAMENTE La agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 14 de junio de 2022 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección hasta el 5 de julio de 2022. Se usó en campañas de ransomware. Corregirla es prioritario.

Afectados

• Microsoft Windows 10 Version 1809

  desde 10.0.17763.0 hasta antes de 10.0.17763.3046

• Microsoft Windows 10 Version 1809

  desde 10.0.0 hasta antes de 10.0.17763.3046

• Microsoft Windows Server 2019

  desde 10.0.17763.0 hasta antes de 10.0.17763.3046

• Microsoft Windows Server 2019 (Server Core installation)

  desde 10.0.17763.0 hasta antes de 10.0.17763.3046

• Microsoft Windows 10 Version 21H1

  desde 10.0.0 hasta antes de 10.0.19043.1766

• Microsoft Windows Server 2022

  desde 10.0.20348.0 hasta antes de 10.0.20348.770

• Microsoft Windows 10 Version 20H2

  desde 10.0.0 hasta antes de 10.0.19042.1766

• Microsoft Windows Server version 20H2

  desde 10.0.0 hasta antes de 10.0.19042.1766

• Microsoft Windows 11 version 21H2

  desde 10.0.0 hasta antes de 10.0.22000.739

• Microsoft Windows 10 Version 21H2

  desde 10.0.19043.0 hasta antes de 10.0.19044.1766

• Microsoft Windows 10 Version 1507

  desde 10.0.10240.0 hasta antes de 10.0.10240.19325

• Microsoft Windows 10 Version 1607

  desde 10.0.14393.0 hasta antes de 10.0.14393.5192

Qué hacer

1. Verificá si usás Windows 10 Version 1809 y en qué versión.
2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
3. Priorizá la corrección: ya se usa en ataques reales.
4. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• dayobamiii/OMOTOSO-AYOBAMI ↗CVE-2022-3019018 OCT · 22:43

Calculadora CVSS

CVSS 3.1 · 7.8 ALTA

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C

• Vector de ataqueLocal
• Complejidad del ataqueBaja
• Privilegios requeridosNinguno
• Interacción del usuarioRequerida
• AlcanceSin cambio
• ConfidencialidadAlta
• IntegridadAlta
• DisponibilidadAlta
• Madurez del exploitPrueba de concepto
• Nivel de remediaciónCorrección oficial
• Confianza del informeConfirmada

Descripción original

A remote code execution vulnerability exists when MSDT is called using the URL protocol from a calling application such as Word. An attacker who successfully exploits this vulnerability can run arbitrary code with the privileges of the calling application. The attacker can then install programs, view, change, or delete data, or create new accounts in the context allowed by the user’s rights. Please see the MSRC Blog Entry for important information about steps you can take to protect your system from this vulnerability.

Referencias (4)

• msrc.microsoft.com/update-guide/vulnerability/CVE-2022-30190
• portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-30190
• packetstormsecurity.com/files/167438/Microsoft-Office-Word-MSDTJS-Code-Execution.html
• www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-30190

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.