Rilevamento CVE-2023-38146: Il bug RCE “ThemeBleed” di Windows comporta rischi crescenti con il rilascio dell’exploit PoC
Indice:
La nuova vulnerabilità di sicurezza dei Temi di Microsoft Windows, tracciata come CVE-2023-38146, che consente agli attaccanti di eseguire RCE, emerge nell’arena delle minacce informatiche. Il proof-of-concept (PoC) disponibile per questa vulnerabilità, noto anche come “ThemeBleed”, è stato recentemente rilasciato su GitHub, ponendo una minaccia alle potenzialmente infette istanze di Windows e catturando l’attenzione dei difensori.
Rilevamento CVE-2023-38146
Avendo un exploit PoC pubblicamente disponibile sul web, gli avversari si concentrano nella creazione di armi per la vulnerabilità Windows ThemeBleed consentendo l’esecuzione di codice remoto sulle istanze interessate. Per rilevare in tempo attività sospette associate ai tentativi di sfruttamento di CVE-2023-38146, la piattaforma SOC Prime aggrega un set di regole Sigma rilevanti. Tutte le rilevazioni sono compatibili con i formati tecnologici leader di SIEM, EDR, XDR e Data Lake e allineate con il framework MITRE ATT&CK® per semplificare le procedure di caccia alle minacce.
Per esplorare l’elenco completo delle regole curate e facilitare l’approfondimento della minaccia CVE-2023-28146, premi il Esplora Rilevamenti pulsante qui sotto. I professionisti della sicurezza possono accedere a un contesto dettagliato sulle minacce informatiche accompagnato da riferimenti ATT&CK e link CTI e ottenere metadati più completi che corrispondono alle attuali esigenze di sicurezza e potenziano l’indagine sulle minacce.
Analisi CVE-2023-38146
La vulnerabilità dei Temi di Windows recentemente scoperta identificata come CVE-2023-38146, aka ThemeBleed, con un punteggio CVSS elevato che raggiunge 8.8, può portare all’esecuzione di codice arbitrario. Con l’exploit ThemeBleed PoC disponibile pubblicamente su GitHub, la falla richiede immediata attenzione per identificare tempestivamente la minaccia.
Il 12 settembre 2023, Microsoft ha trattato i dettagli dei potenziali tentativi di sfruttamento CVE-2023-38146. La catena d’infezione è innescata caricando un file THEME armato su un sistema compromesso con accesso a una condivisione SMB controllata da un attaccante.
Il ricercatore Gabe Kirkpatrick, che è stato il primo a segnalare ThemeBleed e lo sviluppatore del codice PoC ha trattato i dettagli approfonditi dell’attacco. Utilizzando il numero di versione “999” si crea un significativo intervallo di tempo nel processo di verifica della firma DLL e di caricamento della libreria all’interno della routine per la gestione del file MSSTYLES, che può causare l’emergere di una race condition. Successivamente, applicando lo specifico file MSSTYLES generato, gli avversari possono sfruttare una finestra temporale per applicare un DLL malevolo invece di uno verificato, permettendo loro di eseguire codice arbitrario sul sistema compromesso. Inoltre, il ricercatore aggiunge che scaricare un file Tema di Windows malevolo dal web attiva l’avviso ‘mark-of-the-web’, che può notificare all’utente la potenziale minaccia. Tuttavia, gli avversari possono eludere questo avviso avvolgendo il tema in un file archivio THEMEPACK.
Microsoft ha affrontato aggiornamenti di sicurezza per CVE-2023-38146 nel recente Patch Tuesday di settembre 2023 rimuovendo la funzionalità “version 999”. Tuttavia, Kirkpatrick segnala che la race condition fondamentale esiste ancora mentre pone potenziali rischi per gli utenti mirati. Inoltre, l’assenza di avvisi mark-of-the-web per i file THEMEPACK necessita ancora di una soluzione per prevenire che gli avversari evitino le misure di protezione della sicurezza.
Per mitigare la minaccia, i difensori raccomandano di applicare il pacchetto di aggiornamenti di sicurezza Microsoft più recente che affronta CVE-2023-38146 insieme a oltre 50 altri bug, rimuovendo la funzionalità “version 999” e prevenendo il caricamento di risorse da condivisioni remote all’interno dei file di temi di Windows.
Sfoglia SOC Prime per rilevare proattivamente i tentativi di sfruttamento CVE ed essere il primo a conoscere le ultime TTP utilizzate dagli avversari nel mondo reale. Esplora l’intelligence su misura e immergiti nel contesto completo delle minacce con la descrizione CVE, exploit PoC, riferimenti mediatici e link di mitigazione per essere sempre un passo avanti nella tua ricerca sulle minacce.
