Se ha publicado un exploit de prueba de concepto (PoC) para la vulnerabilidad CVE-2023-21768. Este fallo permite que atacantes con acceso local obtengan privilegios de SYSTEM a través del controlador de funciones auxiliares de Windows para WinSock. El código, desarrollado por los investigadores Valentina Palmiotti y Ruben Boonen, afecta específicamente a sistemas Windows 11 22H2 vulnerables, aunque se trata de una vulnerabilidad que ya fue corregida en enero de 2023.

Un exploit público de prueba de concepto para el CVE-2023-21768 muestra cómo los atacantes con acceso local pueden obtener privilegios de SYSTEM a través del Controlador de Funciones Auxiliares de Windows para WinSock.

Los investigadores Valentina Palmiotti, conocida como chompie, y Ruben Boonen publicaron el código. Su exploit completo se dirige a sistemas Windows 11 22H2 vulnerables.

El lanzamiento se refiere a una vulnerabilidad parcheada en enero de 2023, no a un fallo de Windows recientemente revelado. IBM publicó el análisis técnico de los investigadores el 21 de marzo de 2023.

La vulnerabilidad tiene una puntuación CVSS de 7.8 y requiere privilegios locales de bajo nivel, sin interacción del usuario. No proporciona una ruta directa hacia un ordenador a través de internet. El fallo se encuentra en afd.sys, un controlador del núcleo de Windows que gestiona las solicitudes de la interfaz de red WinSock.

Según el análisis técnico de IBM, los investigadores compararon las versiones del controlador de diciembre de 2022 y enero de 2023 para entender la corrección de Microsoft. Solo una función, AfdNotifyRemoveIoCompletion, parecía haber cambiado, lo que les ayudó a delimitar su investigación.

El código antiguo no comprobaba un puntero de memoria suministrado desde una aplicación de usuario. Esa falta de comprobación permitía que un atacante local escribiera en la memoria del núcleo, donde Windows almacena datos sensibles del sistema.

El código actualizado de Microsoft añadió una validación para asegurar que los punteros del modo usuario hagan referencia a una memoria de espacio de usuario adecuada en lugar de a direcciones protegidas del núcleo.

POC para la vulnerabilidad auxiliar de Windows WinSock

Los investigadores dijeron que diagnosticaron, reprodujeron y convirtieron el fallo en un exploit funcional en aproximadamente un día, a pesar de no tener experiencia previa con este controlador.

Sus hallazgos muestran cómo comparar software parcheado y no parcheado puede revelar detalles suficientes para construir un ataque rápidamente.

El repositorio público de GitHub describe el código como una demostración. Su cadena completa de escalada de privilegios funciona en instalaciones vulnerables de Windows 11 22H2, mientras que la capacidad subyacente de escritura en memoria funciona en todos los sistemas vulnerables.

Estas son afirmaciones separadas, y el repositorio no promete compatibilidad total del exploit con cada versión de Windows afectada. Para pasar de una escritura de memoria limitada a un control más amplio, el exploit modifica los objetos de anillo de E/S de Windows. Estos objetos soportan el trabajo de entrada y salida en cola.

La técnica se basa en la investigación de Yarden Shafir y permite lecturas y escrituras en la memoria del núcleo. El exploit sustituye entonces el token de seguridad de un proceso objetivo por uno que posee privilegios de SYSTEM.

IBM también informó que 360 IceSword Lab encontró un exploit diferente activo en enero de 2023. Esa muestra utilizaba la interfaz ProcessSocketNotifications en lugar del enfoque directo al controlador de los investigadores. Este informe no establece que los atacantes hayan utilizado el código publicado en GitHub.

Debes verificar que los dispositivos afectados recibieron la corrección de Microsoft o actualizaciones aplicables posteriores. La demostración de IBM también funcionó sin ser bloqueada por HVCI, demostrando por qué esa protección no debe sustituir al parcheo.

La cobertura relacionada incluye la explotación del CVE-2024-38193 y el zero-day de WinSock CVE-2025-32709. Ambos involucran al mismo controlador, pero son fallos distintos con causas y parches diferentes.