תיקון עכשיו: באג קריטי של Windows Kerberos עוקף את אבטחת Microsoft

תיקון עכשיו: באג קריטי של Windows Kerberos עוקף את אבטחת Microsoft

חותמת זמן: 9 בינואר 2024 6:00
צומת המקור: 3052688

מיקרוסופט הקלה על צוותי אבטחה ארגוניים לשנת 2024 עם עדכון אבטחה קל יחסית לינואר המורכב מתיקונים ל-48 CVEs ייחודיים, רק שניים מהם זיהתה החברה כבעלי חומרה קריטית.

זה החודש השני ברציפות, ה-Patch Tuesday של מיקרוסופט לא כלל באגים של יום אפס, כלומר מנהלי מערכת לא יצטרכו להתמודד עם נקודות תורפה חדשות שתוקפים מנצלים באופן פעיל כרגע - דבר שקרה לעתים קרובות ב-2023.

רק שני באגים קריטיים בחומרה

כפי שקורה בדרך כלל, ה-CVEs זה מיקרוסופט חשפה את ה-9 בינואר השפיע על מגוון רחב של מוצריה וכללו פגיעויות הסלמה של הרשאות, פגמים בביצוע קוד מרחוק, באגים לעקוף אבטחה ופגיעויות אחרות. החברה סיווגה 46 מהפגמים כבעלי חומרה חשובה, כולל כמה שתוקפים היו בסבירות גבוהה יותר מאשר לא לנצל.

אחד משני באגי חומרה קריטיים בעדכון האחרון של מיקרוסופט הוא CVE-2024-20674, תכונת אבטחה של Windows Kerberos עוקפת פגיעות המאפשרת לתוקפים לעקוף מנגנוני אימות ולהפעיל התקפות התחזות. "תוקפים יכולים לנצל את הפגם הזה באמצעות התקפת מכונה באמצע (MitM)", אומר סעיד עבאסי, מנהל חקר פגיעות ב-Qualys בהערות ל-Dark Reading. "הם משיגים זאת על ידי הגדרת תרחיש של זיוף רשת מקומית ולאחר מכן שליחת הודעות Kerberos זדוניות כדי להערים על מחשב לקוח להאמין שהם מתקשרים עם שרת אימות לגיטימי של Kerberos."

הפגיעות מחייבת מהתוקף גישה לאותה רשת מקומית כמו היעד. זה לא ניתן לניצול מרחוק דרך האינטרנט ודורש קרבה לרשת הפנימית. למרות זאת, קיימת סבירות גבוהה לניסיונות ניצול אקטיביים בעתיד הקרוב, אומר עבאסי.

קן ברין, מנהל בכיר לחקר איומים במעבדות Immersive, זיהה CVE-2024-20674 בתור באג שארגונים יעשו טוב אם יתקנו במהירות. "סוגים אלה של וקטורי תקיפה הם תמיד בעלי ערך עבור גורמי איומים כמו מפעילי תוכנות כופר וברוקרי גישה", מכיוון שהם מאפשרים גישה משמעותית לרשתות ארגוניות, לפי הצהרה מאת Breen.

הפגיעות הקריטית הנוספת בקבוצת עדכוני האבטחה העדכנית של מיקרוסופט היא CVE-2024-20700, פגיעות של ביצוע קוד מרחוק בטכנולוגיית Windows Hyper-Virtualization. הפגיעות אינה קלה במיוחד לניצול מכיוון שכדי לעשות זאת, תוקף כבר יצטרך להיות קודם כל בתוך הרשת וצמוד למחשב פגיע, על פי הצהרה מאת בן מקארתי, מהנדס אבטחת סייבר מוביל ב-Immersive Labs.

הפגיעות כרוכה גם במצב גזע - סוג של בעיה שקשה יותר לתוקף לנצל מאשר סוגי פגיעות רבים אחרים. "הפגיעות הזו שוחררה כניצול פחות סביר אבל מכיוון שה-Hyper-V פועל בתור ההרשאות הגבוהות ביותר במחשב, כדאי לחשוב על תיקון", אמר מקארתי.

באגים בביצוע קוד מרחוק בעדיפות גבוהה

חוקרי אבטחה הצביעו על שני באגים נוספים של RCE בעדכון ינואר שזוכים לתשומת לב בעדיפות: CVE-2024-21307 ב-Windows Remote Desktop Client ו CVE-2024-21318 ב-SharePoint Server.

מיקרוסופט זיהתה את CVE-2024-21307 כנקודת תורפה שתוקפים נוטים יותר לנצל אותה, אך סיפקה מידע מועט על הסיבה לכך, לפי Breen. החברה ציינה שתוקפים לא מורשים צריכים להמתין עד שמשתמש יזום חיבור כדי שיוכל לנצל את הפגיעות.  

"משמעות הדבר היא שהתוקפים צריכים ליצור שרת RDP זדוני ולהשתמש בטכניקות הנדסה חברתית על מנת להערים על משתמש להתחבר", אמר ברין. "זה לא כל כך קשה כמו שזה נשמע, מכיוון שקל יחסית לתוקפים להגדיר שרתי RDP זדוניים ואז שליחת קבצי .rdp במיילים פירושו שהמשתמש צריך רק לפתוח את הקובץ המצורף כדי להפעיל את הניצול."

עוד כמה באגים ניתנים להסלמה של פריבילגיה

העדכון של מיקרוסופט לינואר כלל תיקונים למספר פרצות הסלמה של הרשאות. בין החמורים שבהם הוא עבור CVE-2023-21310, באג להסלמה של הרשאות במנהל התקן מסנן מיני של Windows Cloud Files. הפגם דומה מאוד ל CVE-2023-36036, פגיעות הסלמה של הרשאות אפס יום באותה טכנולוגיה, שמיקרוסופט חשפה ב עדכון אבטחה בנובמבר 2023.

תוקפים ניצלו באופן פעיל את הפגם הזה כדי לנסות להשיג הרשאות ברמת המערכת במכונות מקומיות - דבר שהם יכולים לעשות גם עם הפגיעות החדשה שנחשפה. "סוג זה של שלב הסלמה של הרשאות נראה לעתים קרובות על ידי גורמי איומים בהתפשרות ברשת", אמר ברין. "זה יכול לאפשר לתוקף להשבית כלי אבטחה או להפעיל כלים להטלת אישורים כמו Mimikatz שיכולים לאפשר תנועה לרוחב או פגיעה בחשבונות דומיין."

כמה מהבאגים החשובים האחרים להסלמה של הרשאות כלולים CVE-2024-20653 ב-Windows Common Log File System, CVE-2024-20698 ב-Windows Kernel, CVE-2024-20683 ב-Win32k, ו-CVE-2024-20686 ב-Win32k. מיקרוסופט דירגה את כל הפגמים הללו כבעיות שתוקפים נוטים יותר לנצל, לפי הצהרה מאת Satnam Narang, מהנדס מחקר בכיר בחברת Tenable. "באגים אלה משמשים בדרך כלל כחלק מפעילות לאחר פשרה", אמר. "כלומר, ברגע שהתוקפים קיבלו דריסת רגל ראשונית למערכות."

בין הפגמים שמיקרוסופט דירגה כחשובים, אך דורשים התייחסות מהירה, הוא CVE-2024-0056, תכונת עקיפת אבטחה ב-SQL, אומר עבאסי. הפגם מאפשר לתוקף לבצע התקפת מכונה באמצע, ליירט ולשנות תעבורת TLS בין לקוח לשרת, הוא מציין. "אם מנוצל, תוקף יכול לפענח, לקרוא או לשנות תעבורת TLS מאובטחת, תוך הפרת סודיות ושלמות הנתונים." עבאסי אומר שתוקף יכול גם למנף את הפגם כדי לנצל את SQL Server דרך ספק הנתונים של SQL.

בול זמן:

עוד מ קריאה אפלה