Javítás most: A kritikus Windows Kerberos-hiba megkerüli a Microsoft biztonságát

Javítás most: A kritikus Windows Kerberos-hiba megkerüli a Microsoft biztonságát

Időbélyeg: 9. január 2024. 6:00
Forrás csomópont: 3052688

A Microsoft 2024-re enyhítette a vállalati biztonsági csapatokat egy viszonylag könnyű januári biztonsági frissítéssel, amely 48 egyedi CVE-hez készült javításokat tartalmazott, amelyek közül a vállalat mindössze kettőt minősített kritikus súlyosságúnak.

A Microsoft javítási keddje immár második hónapja nem tartalmazott nulladik napi hibákat, ami azt jelenti, hogy a rendszergazdáknak nem kell megküzdeniük a támadók által jelenleg aktívan kihasznált új biztonsági résekkel – ami 2023-ban gyakran előfordult.

Csak két kritikus súlyosságú hiba

Mint általában, a CVE-k azt A Microsoft január 9-én hozta nyilvánosságra termékeinek széles körét érintette, és magában foglalta a privilégium-kiterjesztési sebezhetőségeket, a távoli kódvégrehajtási hibákat, a biztonsági megkerülési hibákat és más biztonsági réseket. A cég a hibák közül 46-ot fontosnak minősített, köztük néhányat, amelyeket a támadók nagyobb valószínűséggel használtak ki, mint nem.

A Microsoft legújabb frissítésének két kritikus súlyossági hibája közül az egyik CVE-2024 20674-, a Windows Kerberos biztonsági funkciója, amely megkerüli a biztonsági rést, amely lehetővé teszi a támadók számára, hogy megkerüljék a hitelesítési mechanizmusokat, és megszemélyesítési támadásokat indítsanak. "A támadók kihasználhatják ezt a hibát gép-középső (MitM) támadáson keresztül" - mondja Saeed Abbasi, a Qualys sebezhetőségi kutatásért felelős menedzsere a Dark Readingnek nyilatkozva. "Ezt úgy érik el, hogy beállítanak egy helyi hálózati hamisítási forgatókönyvet, majd rosszindulatú Kerberos-üzeneteket küldenek, hogy rávegyék a kliensgépet arra, hogy elhiggye, egy legitim Kerberos-hitelesítési szerverrel kommunikálnak."

A biztonsági rés megköveteli, hogy a támadó hozzáférjen ugyanahhoz a helyi hálózathoz, mint a célpont. Nem használható távolról az interneten keresztül, és közel kell lennie a belső hálózathoz. Ennek ellenére nagy a valószínűsége annak, hogy a közeljövőben aktív kizsákmányolási kísérletek történnek, mondja Abbasi.

Ken Breen, az Immersive Labs fenyegetéskutatási vezető igazgatója azonosította CVE-2024 20674- olyan hibaként, amelyet a szervezeteknek jól tenne, ha gyorsan kijavítanák. Breen közleménye szerint az ilyen típusú támadási vektorok mindig értékesek a fenyegető szereplők, például a zsarolóvírus-üzemeltetők és a hozzáférési közvetítők számára, mert jelentős hozzáférést tesznek lehetővé a vállalati hálózatokhoz.

A Microsoft legújabb biztonsági frissítéseinek másik kritikus biztonsági rése a CVE-2024-20700, amely a Windows Hyper-Virtualization technológia távoli kódfuttatását lehetővé tévő biztonsági rése. Ben McCarthy, az Immersive Labs vezető kiberbiztonsági mérnökének nyilatkozata szerint a sérülékenységet nem kifejezetten könnyű kihasználni, mert ehhez a támadónak már a hálózaton belül kell lennie, és egy sebezhető számítógép mellett kell lennie.

A sérülékenység egy faji állapotot is magában foglal – egy olyan típusú probléma, amelyet nehezebb kihasználni a támadó számára, mint sok más típusú sebezhetőséget. „Ezt a sérülékenységet kevésbé valószínű kihasználásként adták ki, de mivel a Hyper-V a számítógépek legmagasabb jogosultságaként fut, érdemes elgondolkodni a javításon” – mondta McCarthy.

Magas prioritású távoli kódvégrehajtási hibák

A biztonsági kutatók két másik RCE-hibára is rámutattak a januári frissítésben, amelyek kiemelt figyelmet érdemelnek: CVE-2024 21307- a Windows Remote Desktop Client alkalmazásban és CVE-2024 21318- a SharePoint Serverben.

Breen szerint a Microsoft a CVE-2024-21307 biztonsági rést azonosította, amelyet a támadók nagyobb valószínűséggel kihasználnak, de kevés információval szolgált ennek okáról. A cég megjegyezte, hogy az illetéktelen támadóknak meg kell várniuk, amíg a felhasználó kapcsolatot kezdeményez, hogy kihasználhassa a biztonsági rést.  

"Ez azt jelenti, hogy a támadóknak rosszindulatú RDP-kiszolgálót kell létrehozniuk, és social engineering technikákat kell alkalmazniuk, hogy rávegyék a felhasználót a csatlakozásra" - mondta Breen. "Ez nem olyan nehéz, mint amilyennek hangzik, mivel a támadók viszonylag könnyen beállíthatják a rosszindulatú RDP-szervereket, majd az .rdp formátumú mellékletek e-mailekben történő elküldése azt jelenti, hogy a felhasználónak csak meg kell nyitnia a mellékletet a kihasználás elindításához."

Néhány további kihasználható privilégium-eszkalációs hiba

A Microsoft januári frissítése számos kiváltságkiterjesztési sebezhetőséget tartalmazott. Közülük a legsúlyosabb az CVE-2023 21310-, a Windows Cloud Files Mini Filter Driver privilégium-eszkalációs hibája. A hiba nagyon hasonlít a CVE-2023 36036-, egy nulladik napos privilégium-eszkalációs sebezhetőség ugyanabban a technológiában, amelyet a Microsoft a 2023. novemberi biztonsági frissítés.

A támadók aktívan kihasználták ezt a hibát, hogy rendszerszintű jogosultságokat szerezzenek a helyi gépeken – amit az újonnan feltárt sebezhetőséggel is megtehetnek. „Az ilyen típusú kiváltságkiterjesztést gyakran látják a hálózati kompromisszumok során fenyegető szereplők” – mondta Breen. "Lehetővé teheti a támadó számára, hogy letiltson biztonsági eszközöket, vagy olyan hitelesítő adatok kiíratására szolgáló eszközöket futtasson, mint a Mimikatz, amely lehetővé teszi az oldalirányú mozgást vagy a domain fiókok feltörését."

Néhány más fontos privilégium-eszkalációs hiba is benne van CVE-2024 20653- a Windows közös naplófájlrendszerében, CVE-2024 20698- a Windows Kernelben, CVE-2024 20683- Win32k alatt, és CVE-2024-20686 Win32k alatt. Satnam Narang, a Tenable vezető kutatómérnökének nyilatkozata szerint a Microsoft ezeket a hibákat olyan problémáknak minősítette, amelyeket a támadók nagyobb valószínűséggel kihasználnak. "Ezeket a hibákat általában a kiegyezést követő tevékenységek részeként használják" - mondta. "Azaz, ha a támadók kezdetben megvették a lábukat a rendszerekben."

A Microsoft által fontosnak tartott, de gyors figyelmet igénylő hibák közé tartozik CVE-2024-0056, egy biztonsági megkerülő funkció az SQL-ben, mondja Abbasi. Megjegyzi, hogy a hiba lehetővé teszi a támadó számára, hogy egy gépen belüli támadást hajtson végre, elfogva és potenciálisan módosítva a kliens és a szerver közötti TLS-forgalmat. "Ha kihasználják, a támadó visszafejtheti, elolvashatja vagy módosíthatja a biztonságos TLS-forgalmat, megsértve az adatok titkosságát és integritását." Abbasi szerint a támadó a hibát az SQL Server SQL Data Provideren keresztüli kihasználására is felhasználhatja.

Időbélyeg:

Még több Sötét olvasmány