Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2023-23397
Vulnerabilidad CVE-2023-23397
Publicado: 05/12/2025
Escrito por: Lizzie Danielson
¿Qué es la vulnerabilidad CVE-2023-23397?
CVE-2023-23397 es una ejecución remota de código (RCE) vulnerabilidad en Microsoft Outlook, divulgada por primera vez en marzo de 2023. Esta vulnerabilidad permite a los actores de amenazas explotar una falla de escalada de privilegios al crear correos electrónicos maliciosos que contienen un enlace UUID, lo que provoca la autenticación NTLM. Lo que hace que esta vulnerabilidad sea particularmente peligrosa es que no requiere interacción del usuario, lo que la convierte en una amenaza grave para los entornos empresariales.
¿Cuándo se descubrió?
La vulnerabilidad CVE-2023-23397 fue descubierta por primera vez por el equipo de Microsoft’s Threat Intelligence y divulgada el 14 de marzo de 2023. Microsoft emitió un aviso que detalla el impacto de la vulnerabilidad, con información adicional proporcionada por la Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA).
Productos y versiones afectados
Producto | Versiones afectadas | Versiones corregidas / enlaces de parches |
Microsoft Outlook | Outlook 2013, Outlook 2016, Outlook 2019 |
Descripción técnica de CVE-2023-23397
En esencia, CVE-2023-23397 explota la vía de escalada de privilegios al aprovechar la manipulación de las propiedades extendidas de MAPI en el correo electrónico. El atacante envía un correo electrónico malicioso con una propiedad personalizada que especifica una ruta UNC, engañando a Outlook para que inicie automáticamente una sesión de autenticación NTLM. Este comportamiento expone las credenciales de la víctima, incluyendo posibles hashes NTLMv2, al atacante. La falta de requisito de interacción del usuario amplifica su capacidad de explotación, facilitando que los actores de amenazas logren sus objetivos.
Tácticas, técnicas y procedimientos (TTPs)
Los atacantes que aprovechan CVE-2023-23397 suelen usar campañas de phishing para infectar a sus objetivos. Una vez entregado el correo electrónico, las propiedades maliciosas en el correo hacen que Outlook se comunique con un servidor controlado, permitiendo la obtención de credenciales confidenciales.
Indicadores de compromiso (IoCs)
Algunos IoCs conocidos asociados con CVE-2023-23397 incluyen:
Correos electrónicos maliciosos que contienen rutas UNC inalcanzables.
Tráfico saliente sospechoso de autenticación NTLM hacia dominios o direcciones IP desconocidos.
Actividad inusual en los registros extendidos de MAPI.
Pruebas de concepto y exploits conocidos
Se ha identificado código de prueba de concepto (PoC) para CVE-2023-23397 en bases de datos de exploits y repositorios de GitHub. Estos PoCs imitan el proceso de explotación de la vulnerabilidad, demostrando cómo los atacantes pueden crear y ejecutar cargas útiles maliciosas que afectan a los sistemas vulnerables.
¿Cómo detectar la vulnerabilidad CVE-2023-23397?
Detectar CVE-2023-23397 implica monitorear las propiedades extendidas de MAPI en busca de configuraciones anómalas, escanear los registros de red en busca de intentos inesperados de autenticación NTLM, y usar reglas de SIEM para marcar actividad sospechosa. Las organizaciones deben enfocarse en los registros generados por los clientes de Outlook y priorizar el análisis de las solicitudes de autenticación salientes.
Impacto y riesgo de la vulnerabilidad CVE-2023-23397
La vulnerabilidad CVE-2023-23397 representa riesgos graves para las operaciones empresariales, incluyendo el robo de credenciales, la penetración de sistemas y el acceso no autorizado. Su explotación compromete la confidencialidad de los datos, la integridad y la disponibilidad del sistema. Por ejemplo, los hashes NTLM robados podrían derivar en movimiento lateral o en posteriores ataques de ransomware.
Estrategias de mitigación y remediación
Para mitigar CVE-2023-23397, Microsoft recomienda aplicar de inmediato el parche de seguridad descrito en su aviso. Las organizaciones también deben implementar una segmentación de redes sólida y configurar NTLM para usar métodos de autenticación más seguros. Los sistemas de filtrado de correo electrónico y la security awareness training proactiva para los empleados pueden ayudar a minimizar la exposición.
Preguntas frecuentes sobre la vulnerabilidad CVE-2023-23397
CVE-2023-23397 es una vulnerabilidad crítica de ejecución remota de código en Microsoft Outlook que permite a los atacantes extraer credenciales NTLM sin interacción del usuario. Funciona explotando enlaces UUID maliciosos en correos electrónicos para forzar el intercambio automático de credenciales.
Esta vulnerabilidad permite a los atacantes robar hashes de autenticación NTLM confidenciales y potencialmente moverse lateralmente dentro de una red. La explotación podría dar lugar a acceso no autorizado, filtraciones de datos y un mayor riesgo de ataques de ransomware.
Aunque la amenaza que representa CVE-2023-23397 se ha reducido considerablemente tras el parche de Microsoft, su impacto depende de qué tan ampliamente se apliquen los parches. Los sistemas sin mitigar siguen siendo vulnerables, lo que demuestra la importancia de mantener una vigilancia constante.
Aplicar el parche de seguridad de Microsoft es fundamental. Las organizaciones también deben monitorear el tráfico de correo electrónico en busca de anomalías, restringir la autenticación NTLM cuando sea posible y educar a los usuarios sobre los riesgos asociados con los correos de phishing.
