Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2017-0199
Vulnerabilidad CVE-2017-0199
Publicado: 05/12/2025
Escrito por: Lizzie Danielson
¿Qué es la vulnerabilidad CVE-2017-0199?
CVE-2017-0199 es una vulnerabilidad de ejecución remota de código (RCE) en Microsoft Office y WordPad. Surge por el manejo inadecuado de objetos de Object Linking and Embedding (OLE), lo que permite a los atacantes ejecutar código arbitrario al enviar un documento o archivo RTF (Rich Text Format) manipulado maliciosamente. Explotar esta vulnerabilidad puede dar a los atacantes la capacidad de comprometer sistemas, robar datos confidenciales o realizar movimiento lateral en las redes.
¿Cuándo se descubrió?
CVE-2017-0199 se dio a conocer por primera vez el 11 de abril de 2017, con una actualización de seguridad formal publicada por Microsoft ese mismo día. Los investigadores de seguridad descubrieron la vulnerabilidad tras observar ataques dirigidos que empleaban documentos maliciosos.
Productos y versiones afectados
Producto | Versiones afectadas | Versiones corregidas / enlaces de parches |
Microsoft Office | 2007, 2010, 2013, 2016 | Parche de seguridad de abril de 2017 (Guía de actualizaciones de Microsoft) |
WordPad | Windows 7, 8, 10 | Actualizaciones de seguridad de abril de 2017 (Guía de actualizaciones de Microsoft) |
Descripción técnica de CVE-2017-0199
CVE-2017-0199 explota la forma en que las aplicaciones de Microsoft Office manejan archivos HTA (HTML Application) incrustados en objetos OLE. Los atacantes crean un documento aparentemente legítimo que, al abrirse, obtiene un archivo HTA externo que contiene scripts maliciosos. Este archivo se ejecuta luego sin el consentimiento del usuario, lo que permite al atacante tomar control del sistema. La vulnerabilidad se debe a la falta de validación adecuada de las rutas de contenido externo y a un análisis en un entorno aislado insuficiente de los objetos incrustados.
Tácticas, técnicas y procedimientos (TTPs)
Los atacantes suelen emplear spear-phishing para adjuntar documentos de Office o archivos RTF maliciosos a correos electrónicos. Al abrir el payload, el archivo descarga scripts maliciosos externos, lo que a menudo conduce a la implementación de malware como troyanos de acceso remoto.
Indicadores de compromiso
Los indicadores incluyen solicitudes HTTP/HTTPS no autorizadas a dominios externos sospechosos, ejecución de scripts HTA y comportamientos inusuales en documentos, como solicitar enlaces externos. Supervisa extensiones de archivo como .hta o tráfico malicioso proveniente de aplicaciones de Office.
Pruebas de concepto y exploits conocidos
Existe código de prueba de concepto público disponible en plataformas como GitHub. Se han reportado ampliamente campañas de explotación activa dirigidas a empresas y personas, en particular en 2017, que aprovechan esta vulnerabilidad para espionaje y fraude financiero.
¿Cómo detectar la vulnerabilidad CVE-2017-0199?
Esta vulnerabilidad se puede detectar analizando registros de SIEM en busca de solicitudes HTTP y descargas de archivos anómalas activadas por procesos de Office. El monitoreo basado en endpoints puede identificar la ejecución de archivos HTA y procesos secundarios inusuales derivados de aplicaciones de Office o WordPad sin conexión. Utiliza software antivirus actualizado o soluciones de detección de endpoints para señalar comportamientos de macros maliciosos.
Impacto y riesgo de la vulnerabilidad CVE-2017-0199
El exploit de CVE-2017-0199 compromete la confidencialidad, integridad y disponibilidad de los datos. Se ha utilizado para distribuir malware con fines de espionaje, ransomware y operaciones de robo de credenciales. Un sistema sin parchear puede permitir que los atacantes se propaguen lateralmente por las redes, comprometiendo la infraestructura empresarial.
Estrategias de mitigación y remediación
Evita la explotación aplicando el parche de seguridad de Microsoft de abril de 2017 en todos los sistemas afectados. Deshabilita la ejecución de objetos incrustados en las aplicaciones de Office cuando sea posible. Además, las organizaciones deben implementar filtrado de correo electrónico avanzado y capacitar a los empleados para identificar correos de phishing. Usar herramientas de Detección y respuesta para endpoints (EDR) ayuda a monitorear y bloquear comportamientos sospechosos de manera efectiva.
Preguntas frecuentes sobre la vulnerabilidad CVE-2017-0199
CVE-2017-0199 es una vulnerabilidad de ejecución remota de código (RCE) en Microsoft Office y WordPad, que permite a los atacantes explotar objetos OLE para ejecutar scripts maliciosos. La explotación ocurre cuando un usuario abre un documento o archivo RTF especialmente diseñado.
Los sistemas se infectan cuando los usuarios abren un documento malicioso entregado mediante correos de phishing. Estos documentos descargan archivos HTA externos que contienen código que los atacantes pueden usar para tomar control del sistema.
Aunque los exploits iniciales disminuyeron después de 2017, los sistemas sin parchear siguen en riesgo. Los atacantes pueden aprovechar la vulnerabilidad en entornos antiguos sin parches de seguridad actualizados. Las actualizaciones regulares y el monitoreo proactivo son medidas de protección fundamentales.
Aplica el parche de seguridad de Microsoft publicado en abril de 2017. Usa herramientas avanzadas de detección de amenazas, deshabilita la ejecución de objetos en archivos de Office y capacita a los empleados sobre concientización en phishing. Monitorea los registros del sistema en busca de comportamientos sospechosos relacionados con scripts HTA o descargas de archivos maliciosos.
