Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2023-24932
Vulnerabilidad CVE-2023-24932
Publicado: 20/01/2026
Escrito por: Nadine Rozell
¿Qué es la vulnerabilidad CVE-2023-24932?
CVE-2023-24932 es una vulnerabilidad crítica de evasión de funciones de seguridad en el Windows Boot Manager.
Permite que un atacante con privilegios de administrador o acceso físico evada las protecciones de Secure Boot. Al explotar esta falla, los atacantes pueden ejecutar software no confiable durante el proceso de arranque, estableciendo persistencia a nivel de firmware que es invisible para las soluciones antivirus y EDR tradicionales. Está asociada de forma conocida con el bootkit UEFI BlackLotus.
¿Cuándo se descubrió?
CVE-2023-24932 fue divulgada públicamente por Microsoft el 9 de mayo de 2023, tras investigaciones sobre el bootkit BlackLotus activo en el entorno real.
Aunque los parches se publicaron de inmediato, Microsoft advirtió que aplicar la actualización no basta por sí sola; se requieren pasos manuales para revocar la confianza en los Windows Boot Manager más antiguos y vulnerables, y así cerrar por completo la ventana de vulnerabilidad.
Productos y versiones afectados
La siguiente tabla detalla las versiones afectadas y la guía de parches correspondiente:
Producto | Versiones afectadas | Versiones corregidas / enlaces de parches |
Windows 10 | Versión 20H2, 21H2, 22H2 | Actualizaciones de seguridad de mayo de 2023 (Microsoft Update Guide) |
Windows 11 | Versión 21H2, 22H2 | Actualizaciones de seguridad de mayo de 2023 (Microsoft Update Guide) |
Windows Server | 2012, 2016, 2019, 2022 | Actualizaciones de seguridad de mayo de 2023 (Microsoft Update Guide) |
Descripción técnica de CVE-2023-24932
La vulnerabilidad explota una falla en la forma en que el Windows Boot Manager (bootmgr) valida las firmas digitales durante el proceso de inicio.
Los atacantes utilizan una técnica a menudo llamada "ataque de degradación de protocolo". Traen una versión legítima y más antigua del Windows Boot Manager que contiene la vulnerabilidad y fuerzan al sistema a iniciar usando este archivo vulnerable. Como el gestor de arranque anterior sigue firmado por Microsoft y es confiable para Secure Boot, el sistema permite que se cargue. Una vez cargado, el atacante explota la falla para ejecutar su propio controlador de kernel malicioso y sin firmar.
Tácticas, técnicas y procedimientos (TTPs)
Los atacantes, en particular quienes usan BlackLotus, obtienen acceso inicial (a menudo mediante otros exploits) y escalan a privilegios de administrador.
Luego montan la partición del sistema EFI (ESP) y reemplazan los archivos de arranque actuales con el Windows Boot Manager vulnerable y sus propios archivos maliciosos de bootkit. Al reiniciar, el sistema carga el entorno comprometido, lo que generalmente desactiva las herramientas de seguridad de endpoint, como Microsoft Defender, antes de que el sistema operativo siquiera inicie.
Indicadores de compromiso
Los indicadores incluyen cambios inesperados en la partición del sistema EFI, como la presencia de archivos .efi no reconocidos o almacenes BCD (Boot Configuration Data) modificados.
Los defensores deben estar atentos a la desactivación de Memory Integrity (HVCI) o BitLocker, y a los registros que indiquen que Secure Boot ha sido deshabilitado o manipulado.
Pruebas de concepto y exploits conocidos
El bootkit BlackLotus es el principal exploit real para esta vulnerabilidad.
Este kit de malware, vendido en foros de hackers, automatizó el proceso de explotación, lo que hizo accesible la persistencia avanzada a nivel de firmware para los ciberdelincuentes. Demostró la capacidad de parchar el kernel de Windows sobre la marcha para evadir la detección.
¿Cómo detectar la vulnerabilidad CVE-2023-24932?
La detección implica auditar la versión del Windows Boot Manager y revisar la lista de revocación de Secure Boot (DBX).
Las organizaciones pueden usar herramientas para consultar la lista de revocación de UEFI y verificar si se han agregado las firmas del gestor de arranque vulnerable. Si la DBX no se ha actualizado, el sistema sigue siendo vulnerable aunque se hayan instalado las actualizaciones de Windows.
Impacto y riesgo de la vulnerabilidad CVE-2023-24932
El riesgo es grave porque debilita la "raíz de confianza" del sistema operativo.
Una explotación exitosa otorga a los atacantes privilegios de anillo 0 (kernel) o superiores, lo que les permite ocultarse del software de seguridad, sobrevivir a reinstalaciones del sistema operativo y exfiltrar credenciales. Representa una amenaza importante para objetivos de alto valor e infraestructura crítica.
Estrategias de mitigación y remediación
La mitigación es un proceso estricto de varios pasos. Primero, aplica las actualizaciones de seguridad de Windows de mayo de 2023 (o posteriores).
Segundo, los administradores deben aplicar manualmente políticas de revocación para bloquear los gestores de arranque vulnerables. Esto implica actualizar la lista de revocación DBX de Secure Boot. Advertencia: Realizar este paso de forma incorrecta puede dejar los dispositivos sin poder iniciar si no tienen primero instalado el gestor de arranque actualizado.
Preguntas frecuentes sobre la vulnerabilidad CVE-2023-24932
CVE-2023-24932 es una vulnerabilidad de omisión de Secure Boot. Funciona al permitir que un atacante reemplace el gestor de arranque moderno y seguro por una versión anterior y vulnerable que el sistema todavía considera confiable.
Luego, el atacante explota este archivo antiguo para ejecutar código malicioso antes de que Windows inicie.
No es un virus que se propaga por sí solo. Un atacante primero debe obtener acceso de administrador a un sistema (mediante phishing, credenciales robadas u otros exploits).
Una vez que tiene acceso, modifica los archivos de la partición de arranque para instalar el exploit.
Sí. Dado que la mitigación requiere intervención manual (actualizar la lista de revocación), lo que conlleva el riesgo de dañar el proceso de arranque, muchas organizaciones han dudado en aplicar la solución por completo.
Esto deja una ventana abierta para que los atacantes usen ataques de downgrade contra sistemas Windows actualizados.
Las organizaciones deben aplicar las últimas actualizaciones de Windows y luego seguir cuidadosamente las indicaciones de Microsoft para actualizar la lista de revocación DBX de Secure Boot.
Usar Huntress Managed EDR puede ayudar a detectar los comportamientos posteriores a la explotación asociados con los bootkits.
