Akamai ha recentemente scoperto una vulnerabilità di spoofing in Microsoft Themes, che è stata assegnata a CVE-2024-21320 con un punteggio CVSS di 6,5.
Fin dai tempi di Windows XP, Microsoft ha fornito diverse opzioni di personalizzazione visiva: colori, caratteri e cursori, facili da utilizzare per gli utenti. Per visualizzare i temi installati è sufficiente cliccare con il tasto destro del mouse sul desktop, selezionare “personalizza” e fare clic su “Temi”. I file dei temi hanno il suffisso “.theme” e la documentazione si trova su MSDN – spiega Akamai.
Questa caratteristica, apparentemente innocua, può essere la sede di alcune vulnerabilità dannose. Nell’analisi del Patch Tuesday 2023 di settembre, Akamai ha discusso brevemente l’impatto della vulnerabilità CVE-2023-38146; inoltre, Akamai ha deciso di “giocare” con i valori di un file di tema, scoprendo la mancanza di convalida di alcuni parametri.
Abusando di questa mancanza di convalida, è possibile eseguire un attacco con un’interazione dell’utente praticamente nulla: tutto ciò che l’utente deve fare è scaricare un file di tema dannoso. Una volta che l’utente visualizza il file in Explorer, l’exploit ha inizio.
La vulnerabilità può innescare una forzatura dell’autenticazione, un attacco in cui la vittima invia le credenziali (di solito sotto forma di NTLM hash su protocollo SMB) al computer di un aggressore, in modo che possa in seguito decifrare le credenziali offline.
Per sfruttare questa vulnerabilità, l’aggressore deve semplicemente far scaricare un file “.theme” sul computer della vittima. Quando l’utente visualizza il file in Explorer, questo invia automaticamente pacchetti di handshake Server Message Block (SMB) contenenti le credenziali al server dell’aggressore. Questa vulnerabilità colpisce tutte le versioni di Windows, dato che i temi sono una funzionalità integrata nel sistema operativo. Microsoft ha risolto questo problema nel Patch Tuesday di gennaio 2024, fornendo un file di prova (proof-of-concept PoC) del tema, un video di PoC e diverse modalità per mitigare la vulnerabilità.
Akamai continuerà a monitorare queste e altre minacce e fornirà ulteriori informazioni non appena si presenteranno. Aggiornamenti in tempo reale su ulteriori ricerche sono disponibili sul canale Twitter (ora X) di Akamai.
Per maggiori dettagli è possibile consultare il blogpost di Akamai.
