Microsoft ha publicado parches de seguridad que contemplan dos vulnerabilidades denominadas CVE-2021-42287 y CVE-2021-42278, ambas de severidad alta, que fueron anunciadas en noviembre de 2021. La explotación exitosa de estas vulnerabilidades en conjunto permitiría a un atacante tomar el control del dominio afectado.

Productos afectados:

• Windows Server 2004
• Windows Server 2008, 2008 R2
• Windows Server 2012, 2012 R2
• Windows Server 2016
• Windows Server 20H2
• Windows Server 2019
• Windows Server 2022

Descripción:

CVE-2021-42278: Suplantación de identidad en sAMAccountName. La falla se debe a un problema de omisión de seguridad que permite poseer un controlador de dominio al aprovechar la suplantación del atributo sAMAccountName. En particular, los mecanismos de validación de Active Directory no comprueban el carácter $ al final del nombre de la cuenta de la computadora, aunque todos los nombres de las máquinas deben terminar con él.

CVE-2021-42287: Elevación de privilegios de los controladores de dominio de Active Directory. La vulnerabilidad se debe a una omisión de seguridad que afecta al certificado de atributo de privilegio de Kerberos (PAC). La falla se debe a la mala configuración del centro de distribución de claves (KDC) que permite que cualquier cuenta de computadora se haga pasar por dominios de Active Directory.

Hasta el momento no se tiene referencias de que estas vulnerabilidades estén siendo explotadas.

Recomendaciones:

Actualizar el Active Directory con los parches de seguridad correspondientes provistos por Microsoft.

Referencias:

• https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-42278
• https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-42287
• https://media.cert.europa.eu/static/SecurityAdvisories/2021/CERT-EU-SA2021-077.pdf
• KB5008102: https://support.microsoft.com/en-us/topic/kb5008102-active-directorysecurity-accounts-manager-hardening-changes-cve-2021-42278-5975b463-4c95- 45e1-831a-d120004e258e
• KB5008380: https://support.microsoft.com/en-us/topic/kb5008380-authenticationupdates-cve-2021-42287-9dafac11-e0d0-4cb8-959a-143bd0201041