CVE-2023-21548

Esta es una vulnerabilidad de ejecución remota de código en la implementación del Protocolo de Túnel de Sockets Seguros de Windows, accesible a través de la red sin autenticación. Lo único que la frena es la alta complejidad de ataque: la explotación exitosa no es una simple solicitud de un solo disparo, depende de condiciones que el atacante no controla del todo, que es por lo que aterriza en 8.1 en lugar de un 9.8 directo pese a la forma de RCE remota sin autenticar.

SSTP es un protocolo de VPN, así que la exposición que importa son los hosts Windows que terminan conexiones SSTP en el borde de la red, exactamente el tipo de servicio de cara a internet que los atacantes sondean. El requisito de alta complejidad amortigua el ritmo, la explotación oportunista y confiable es más difícil de lograr, pero una RCE de cara a una VPN es el tipo de cosa en la que los actores capaces invertirán para desarrollar, así que 'difícil' no es 'seguro' con el tiempo.

Nuestro motor de prioridad aquí es la exposición: qué sistemas Windows realmente tienen SSTP habilitado y accesible desde redes no confiables, porque ese conjunto suele ser mucho más pequeño que el parque total de Windows. Parcheamos esos primero y a fondo, confirmamos que la actualización acumulativa está llegando, y donde SSTP no se necesite lo deshabilitaríamos o cerraríamos con firewall directamente, ya que eliminar el listener elimina la ruta accesible por completo.