Lo que empezó siendo un vector de ataque para una vulnerabilidad para Office se ha convertido en una vulnerabilidad más grave que afecta a prácticamente todas las versiones de Windows. Microsoft ha publicado la vulnerabilidad de ejecución remota de código cuando se llama a la herramienta de diagnóstico de soporte de Microsoft (MSDT), utilizando el protocolo URL (llamada URI, con ms-msdt y ms-search) desde una aplicación como Word o incluso cualquier otra, como por ejemplo el navegador.

La vulnerabilidad afecta a Windows y no sólo Office

 Existe una vulnerabilidad de ejecución remota de código cuando se llama a MSDT mediante el protocolo URL desde una aplicación como Word. Un atacante que aproveche con éxito la vulnerabilidad podrá ejecutar código arbitrario con los privilegios de la aplicación que realiza la llamada. Después, el atacante puede instalar programas, ver, cambiar o eliminar datos, o crear nuevas cuentas en el contexto permitido por los derechos del usuario.

• En Windows, ms-msdt: es un tipo de URL propietario que inicia el kit de herramientas de software MSDT.
   

 Debido a la gran disponibilidad de la herramienta de diagnóstico que ofrece Microsoft, el exploit es aprovechable en un gran número de sistemas de la compañía, entre ellos Windows 7, 8.1, 10, 11, y Windows Server 2008, 2012, 2016, 2019 y 2022. Localizado como CVE-2022-30190, se trata de un problema de seguridad de alto nivel. Además, debido a los pocos detalles que ha ofrecido la compañía, es probable que el problema aún no haya sido parcheado. 

El exploit parece ser aprovechable a través del protocolo URL de la llamada de una aplicación como Microsoft Word. Según explica la compañía, el atacante que logre aprovechar esta vulnerabilidad podrá ejecutar código arbitrario con los mismos privilegios que la aplicación de llamada. De esta manera, si Word se estuviese ejecutando con privilegios de administrador, esto significa que el atacante podría obtener esos mismos privilegios.  

El ciberatacante que explote con éxito esta vulnerabilidad podría ejecutar código arbitrario para instalar programas; ver, cambiar o borrar datos, o crear nuevas cuentas en el ámbito permitido por los permisos del usuario.

¿Cómo se puede mitigar CVE-2022-30190?

Deshabilitar el protocolo URL de MSDT: ms-msdt y search-ms

Deshabilitar el protocolo de URL de MSDT evita que los solucionadores de problemas se inicien como enlaces, incluidos enlaces en todo el sistema operativo. Aún se puede acceder a los solucionadores de problemas usando la aplicación Obtener ayuda y en la configuración del sistema como otros solucionadores de problemas adicionales.

 Los pasos a seguir para mitigar la vulnerabilidad son los siguientes:

• Ejecuta símbolo del sistema como administrador.
• Para hacer una copia de seguridad de la clave de registro, ejecute el comando

 reg export HKEY_CLASSES_ROOTms-msdt nombre-del-backup

• Ejecuta el comando

reg delete HKEY_CLASSES_ROOT\ms-msdt /f

Y eliminar también vector de ataque mediante search-ms

reg delete HKEY_CLASSES_ROOT\search-ms /f 

 O guardar el siguiente código en fichero .reg y ejecútalo:

Windows Registry Editor Version 5.00

[-HKEY_CLASSES_ROOT\ms-msdt]

[-HKEY_CLASSES_ROOT\search-ms] 

Para revertir los cambios,  hacemos lo siguiente:

• Ejecuta Símbolo del sistema como administrador
• Ejecutamos el siguiente comando para restaurar la clave del registro: "reg import nombre-del-backup" (sin comillas).

Microsoft recomienda también activar la protección basada en la nube y el envío de muestras automático en Windows Defender.

Otra manera (solución) difundida por Benjamin Delpy —experto en ciberseguridad— consiste en desactivar los asistentes de solución de problemas a través de Regedit, accediendo a 

HKLM\SOFTWARE\Policies\Microsoft\Windows\ScriptedDiagnostics

 y asignando el valor '0' (deshabilitado) a la variable 'EnableDiagnostics'. Si ésta no existe, deberás crear una variable de tipo REG_DWORD con dicho nombre.

Deshabilitar el exploit mediante Política de grupo (GPO)

Puedes deshabilitar esto a través de GPO (que es un método totalmente compatible frente a los hacks de registro)

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\ScriptedDiagnostics" /t REG_DWORD /v EnableDiagnostics /d 0

o a través de la GUI (localmente) o a través de GPMC, etc. en un entorno de dominio.