Exploit para vulnerabilidad de escalamiento de privilegios en AD (CVE-2025-21293)

 Se ha publicado un código de explotación de prueba de concepto (PoC) para CVE-2025-21293, una vulnerabilidad crítica de elevación de privilegios en los servicios de dominio de Active Directory.

Esta vulnerabilidad, descubierta en septiembre de 2024 y parcheada en enero de 2025, ha suscitado inquietudes debido a su potencial para permitir a los atacantes obtener privilegios a nivel de sistema dentro de un entorno de Active Directory. Al CVE-2025-21293 se le ha asignado una puntuación CVSS de 8,8, lo que refleja su alta gravedad.

La vulnerabilidad se identificó durante una investigación sobre el grupo "Operadores de configuración de red", un grupo de seguridad integrado poco conocido en Active Directory. Se descubrió que este grupo, destinado a otorgar privilegios limitados de configuración de red a usuarios sin derechos administrativos completos, tenía permisos excesivos sobre claves de registro confidenciales. En concreto, permitía la creación de subclaves bajo las claves de registro DnsCache y NetBT.

El problema radica en la combinación de estos permisos con la capacidad de manipular los contadores de rendimiento de Windows. Windows utiliza estos contadores para supervisar el rendimiento del sistema y de las aplicaciones, pero también proporciona un mecanismo para ejecutar código personalizado a través de archivos DLL, dijo el investigador BirkeP.

Al explotar los permisos del grupo "Operadores de configuración de red", un atacante podría registrar archivos DLL de contadores de rendimiento maliciosos en la clave de registro del servicio DnsCache. Una vez registrados, estos archivos DLL podrían ejecutarse con privilegios de nivel SYSTEM cuando se los consulte con herramientas como PerfMon.exe o WMI.

El exploit aprovecha la capacidad de Windows de cargar y ejecutar archivos DLL personalizados como parte de su infraestructura de contadores de rendimiento. El atacante registra cuatro subclaves de registro específicas (Library, Open, Collect y Close) que apuntan a su archivo DLL malicioso.

Cuando se accede al contador de rendimiento, por ejemplo a través de consultas WMI o herramientas de monitoreo, el código malicioso se ejecuta en el contexto de SYSTEM, lo que eleva los privilegios de manera efectiva.

Este enfoque se basa en investigaciones previas sobre la explotación de los contadores de rendimiento, pero lo aplica de forma única en el contexto de los grupos de seguridad predeterminados de Active Directory.

El exploit PoC demuestra cómo un atacante puede lograr este escalamiento elaborando cuidadosamente entradas de registro e implementando una DLL maliciosa. El exploit no requiere la interacción del usuario, lo que lo hace particularmente peligroso en entornos donde Active Directory se implementa ampliamente.

Microsoft abordó esta vulnerabilidad en sus actualizaciones del martes de parches de enero de 2025. El parche modifica los permisos del grupo "Operadores de configuración de red", eliminando su capacidad de crear subclaves bajo claves de registro críticas. Se recomienda encarecidamente a las organizaciones que apliquen esta actualización de inmediato para mitigar los posibles riesgos.

En el caso de los sistemas que no se pueden reparar de inmediato, los administradores deberían considerar restringir la membresía en el grupo "Operadores de configuración de red" y monitorear modificaciones inusuales en el registro o actividad del contador de rendimiento.

Fuente: SeguInfo