W zesz\u0142ym miesi\u0105cu Microsoft za\u0142ata\u0142 prawdopodobnie jeden z najpowa\u017cniejszych b\u0142\u0119d\u00f3w, jakie kiedykolwiek zg\u0142oszono firmie. Luka nazwana Zerologon umo\u017cliwia atakuj\u0105cym infiltracj\u0119 firm poprzez uzyskanie uprawnie\u0144 administracyjnych, daj\u0105c im dost\u0119p do firmowych kontroler\u00f3w domeny Active Directory. Luka otrzyma\u0142a maksymaln\u0105 ilo\u015b\u0107 punkt\u00f3w na skali CVSS, jednak \u017cadne szczeg\u00f3\u0142y nie zosta\u0142y upublicznione przez Microsoft. Oznacza to, \u017ce u\u017cytkownicy i administratorzy IT nie wiedzieli, z jak niebezpieczn\u0105 podatno\u015bci\u0105 mieli do czynienia. Wi\u0119cej informacji znajdziecie poni\u017cej.<\/p>\n\n\n\n\n\n\n\n
Przy okazji ka\u017cdego Centrum Bezpiecze\u0144stwa<\/a> Xopero przypominamy, jak istotne s\u0105 regularne aktualizacje. Niestety, na w\u0142asnej sk\u00f3rze mog\u0105 przekona\u0107 si\u0119 o tym wszystkie organizacje, kt\u00f3re w terminie nie zastosowa\u0142y sierpniowych aktualizacji Microsoftu. Wtedy, bez wi\u0119kszego echa za\u0142atana zosta\u0142a luka CVE-2020-1472 (10\/10) umo\u017cliwiaj\u0105ca podniesienie uprawnie\u0144 w protokole zdalnym Netlogon (MS-NRPC).<\/p>\n\n\n\n CVE-2020-1472 (aka Zerologon) dotyczy wszystkich obs\u0142ugiwanych wersji systemu Windows Server od 2008 wzwy\u017c. Zagro\u017cenie jest jednak najwi\u0119ksze w przypadku serwer\u00f3w, kt\u00f3re dzia\u0142aj\u0105 jako kontrolery domeny Active Directory w sieciach korporacyjnych.<\/p>\n\n\n\n Luka wynika z b\u0142\u0119du w schemacie uwierzytelniania kryptograficznego u\u017cywanego przez Netlogon Remote Protocol. Netlogon korzysta z algorytmu AES, w trybie CFB8. Ten wykorzystuje do\u015b\u0107 cz\u0119sto spotykany w kryptografii IV, a in\u017cynierowie Microsoftu wymagaj\u0105 \u017ceby sk\u0142ada\u0142 si\u0119 on z samych zer (!). Wystarczy 256 pr\u00f3b (a mo\u017cna pr\u00f3bowa\u0107 do woli), aby serwer zaakceptowa\u0142 logowanie – to powinno zaj\u0105\u0107 ok…3 sekund. <\/p>\n\n\n\n Atakuj\u0105cy mo\u017ce zmieni\u0107 has\u0142o kontrolera domeny, przechowywane w us\u0142udze AD, a nast\u0119pnie wykorzysta\u0107 je do uzyskania po\u015bwiadcze\u0144 administratora. Podatno\u015b\u0107 nie wymaga posiadania \u017cadnego konta, exploit jest szybki i dzia\u0142a bardzo stabilnie, dotyka wszystkich obs\u0142ugiwanych serwer\u00f3w Windows i umo\u017cliwia pe\u0142en dost\u0119p do administratora domeny. <\/p>\n\n\n\n W ci\u0105gu ostatniego tygodnia opublikowano wiele proofs-of-concept (PoC), a efektywno\u015b\u0107 wielu z nich zosta\u0142a potwierdzona. Exploit ten znalaz\u0142 r\u00f3wnie\u017c zastosowanie w najnowszej wersji Mimikatz. <\/p>\n\n\n\n