Vá ngay: Lỗi Kerberos nghiêm trọng của Windows vượt qua Microsoft Security

Vá ngay: Lỗi Kerberos nghiêm trọng của Windows vượt qua Microsoft Security

Dấu thời gian: 9:2024 chiều ngày 6 tháng 00 năm XNUMX
Nút nguồn: 3052688

Microsoft đã nới lỏng các nhóm bảo mật doanh nghiệp vào năm 2024 bằng bản cập nhật bảo mật tương đối nhẹ vào tháng 48, bao gồm các bản vá cho XNUMX CVE duy nhất, chỉ hai trong số đó được công ty xác định là có mức độ nghiêm trọng nghiêm trọng.

Trong tháng thứ hai liên tiếp, Bản vá thứ ba của Microsoft không có bất kỳ lỗi zero-day nào, có nghĩa là quản trị viên sẽ không phải đối mặt với bất kỳ lỗ hổng mới nào mà những kẻ tấn công đang tích cực khai thác vào thời điểm hiện tại — điều đã xảy ra thường xuyên vào năm 2023.

Chỉ có hai lỗi nghiêm trọng nghiêm trọng

Như thường lệ, các CVE Microsoft tiết lộ ngày 9 tháng XNUMX đã ảnh hưởng đến một loạt sản phẩm của hãng và bao gồm các lỗ hổng leo thang đặc quyền, lỗi thực thi mã từ xa, lỗi bỏ qua bảo mật và các lỗ hổng khác. Công ty đã phân loại 46 lỗ hổng ở mức độ nghiêm trọng quan trọng, bao gồm một số lỗ hổng mà những kẻ tấn công có nhiều khả năng khai thác hơn.

Một trong hai lỗi nghiêm trọng trong bản cập nhật mới nhất của Microsoft là CVE-2024-20674, một lỗ hổng bỏ qua tính năng bảo mật Windows Kerberos cho phép kẻ tấn công bỏ qua các cơ chế xác thực và khởi động các cuộc tấn công mạo danh. Saeed Abbasi, giám đốc nghiên cứu lỗ hổng tại Qualys, cho biết: “Những kẻ tấn công có thể khai thác lỗ hổng này thông qua cuộc tấn công máy trung gian (MitM). “Chúng đạt được điều này bằng cách thiết lập một kịch bản giả mạo mạng cục bộ và sau đó gửi các tin nhắn Kerberos độc hại để lừa máy khách tin rằng chúng đang liên lạc với một máy chủ xác thực Kerberos hợp pháp.”

Lỗ hổng yêu cầu kẻ tấn công phải có quyền truy cập vào cùng mạng cục bộ với mục tiêu. Nó không thể khai thác từ xa qua Internet và cần phải ở gần mạng nội bộ. Mặc dù vậy, có khả năng cao sẽ xảy ra các nỗ lực khai thác tích cực trong tương lai gần, Abbasi nói.

Ken Breen, giám đốc cấp cao về nghiên cứu mối đe dọa tại Immersive Labs, đã xác định CVE-2024-20674 như một lỗi mà các tổ chức nên vá nhanh chóng. Theo một tuyên bố từ Breen, “Những loại vectơ tấn công này luôn có giá trị đối với các tác nhân đe dọa như kẻ điều hành ransomware và kẻ môi giới truy cập” vì chúng cho phép truy cập đáng kể vào mạng doanh nghiệp.

Lỗ hổng nghiêm trọng khác trong loạt cập nhật bảo mật mới nhất của Microsoft là CVE-2024-20700, lỗ hổng thực thi mã từ xa trong công nghệ Siêu ảo hóa Windows. Theo tuyên bố từ Ben McCarthy, kỹ sư an ninh mạng hàng đầu tại Immersive Labs, lỗ hổng này không đặc biệt dễ khai thác vì để làm như vậy, trước tiên kẻ tấn công cần phải ở trong mạng và ở gần một máy tính dễ bị tấn công.

Lỗ hổng này cũng liên quan đến tình trạng chạy đua — một loại vấn đề mà kẻ tấn công khó khai thác hơn nhiều loại lỗ hổng khác. McCarthy cho biết: “Lỗ hổng này đã được phát hành do ít có khả năng bị khai thác nhưng vì Hyper-V chạy với đặc quyền cao nhất trong máy tính nên rất đáng để suy nghĩ về việc vá lỗi”.

Lỗi thực thi mã từ xa có mức độ ưu tiên cao

Các nhà nghiên cứu bảo mật đã chỉ ra hai lỗi RCE khác trong bản cập nhật tháng 1 đáng được ưu tiên chú ý: CVE-2024-21307 trong Windows Remote Desktop Client và CVE-2024-21318 trong Máy chủ SharePoint.

Theo Breen, Microsoft xác định CVE-2024-21307 là một lỗ hổng mà những kẻ tấn công có nhiều khả năng khai thác hơn nhưng lại cung cấp rất ít thông tin về lý do. Công ty đã lưu ý rằng những kẻ tấn công trái phép cần đợi người dùng bắt đầu kết nối để có thể khai thác lỗ hổng.  

Breen nói: “Điều này có nghĩa là những kẻ tấn công phải tạo một máy chủ RDP độc hại và sử dụng các kỹ thuật kỹ thuật xã hội để lừa người dùng kết nối”. “Điều này không khó như người ta tưởng, vì các máy chủ RDP độc hại tương đối dễ dàng để kẻ tấn công thiết lập và sau đó gửi tệp đính kèm .rdp trong email, nghĩa là người dùng chỉ cần mở tệp đính kèm để kích hoạt hoạt động khai thác.”

Thêm một số lỗi nâng cao đặc quyền có thể bị khai thác

Bản cập nhật tháng 1 của Microsoft bao gồm các bản vá cho một số lỗ hổng leo thang đặc quyền. Trong đó nghiêm trọng nhất là đối với CVE-2023-21310, một lỗi leo thang đặc quyền trong Windows Cloud Files Mini Filter Driver. Lỗi này rất giống với CVE-2023-36036, một lỗ hổng leo thang đặc quyền 0 ngày trong cùng một công nghệ mà Microsoft đã tiết lộ trong báo cáo của mình. Cập nhật bảo mật tháng 2023 năm XNUMX.

Những kẻ tấn công đã tích cực khai thác lỗ hổng đó để cố gắng giành được các đặc quyền cấp hệ thống trên các máy cục bộ - điều mà chúng cũng có thể làm với lỗ hổng mới được tiết lộ. Breen cho biết: “Loại bước leo thang đặc quyền này thường được các tác nhân đe dọa nhìn thấy trong các thỏa hiệp mạng”. “Nó có thể cho phép kẻ tấn công vô hiệu hóa các công cụ bảo mật hoặc chạy các công cụ bán phá giá thông tin xác thực như Mimikatz, sau đó có thể cho phép di chuyển ngang hoặc xâm phạm tài khoản miền.”

Một số lỗi leo thang đặc quyền quan trọng khác bao gồm CVE-2024-20653 trong Hệ thống tệp nhật ký chung của Windows, CVE-2024-20698 trong hạt nhân Windows, CVE-2024-20683 trong Win32k, và CVE-2024-20686 trong Win32k. Theo tuyên bố từ Satnam Narang, kỹ sư nghiên cứu cấp cao của Tenable, Microsoft đã đánh giá tất cả những sai sót này là những vấn đề mà kẻ tấn công có nhiều khả năng khai thác hơn. Ông nói: “Những lỗi này thường được sử dụng như một phần của hoạt động hậu thỏa hiệp. “Đó là, một khi những kẻ tấn công đã có được chỗ đứng ban đầu trên các hệ thống.”

Trong số những sai sót được Microsoft xếp hạng là quan trọng nhưng cần được chú ý nhanh chóng, đó là CVE-2024-0056, Abbasi nói: một tính năng bỏ qua bảo mật trong SQL. Ông lưu ý rằng lỗ hổng này cho phép kẻ tấn công thực hiện một cuộc tấn công giữa máy, chặn và có khả năng thay đổi lưu lượng TLS giữa máy khách và máy chủ. “Nếu bị khai thác, kẻ tấn công có thể giải mã, đọc hoặc sửa đổi lưu lượng TLS an toàn, vi phạm tính bảo mật và tính toàn vẹn của dữ liệu.” Abbasi nói rằng kẻ tấn công cũng có thể lợi dụng lỗ hổng này để khai thác SQL Server thông qua Nhà cung cấp dữ liệu SQL.

Dấu thời gian:

Thêm từ Đọc tối