CVE 2019-1166 og CVE-2019-1338 er to sårbarheder i Microsofts NTLM authentication protocol, som blev opdaget af foregribe forskere.
Heldigvis, begge fejl blev lappet af Microsoft i oktober 2019 Patch tirsdag. Angribere kan udnytte fejlene for at opnå fuld domænenavn kompromis.
CVE 2019-1166
CVE 2019-1166 sårbarhed kan gøre det muligt for angribere at omgå MIC (Meddelelsesintegritet kode) beskyttelse på NTLM-godkendelse til at ændre en hvilken som helst felt i meddelelsesstrøm NTLM, herunder kravet signering. Dette kunne yderligere tillade angribere at relay godkendelsesforsøg som med succes har forhandlet signering til en anden server, mens narre serveren til helt at ignorere kravet signering, foregribe forskere forklarede. Alle servere, der ikke håndhæver signering er sårbare over for dette angreb.
CVE 2019-1338
CVE 2019-1338 sårbarhed kan give mulighed for angribere at unddrage MIC beskyttelse, sammen med andre NTLM relay afhjælpninger, ligesom Forbedret beskyttelse til godkendelse (EPA), og målrette SPN validering for visse gamle NTLM klienter, der sender LMv2 udfordring svar. Sårbarheden kan føre til angreb, hvor NTLM relæ bruges til succes godkende til kritiske servere såsom OWA og ADFS at stjæle værdifulde brugerdata.
Det er bemærkelsesværdigt, at NTLM relæet er en af de mest udbredte angreb på Active Directory infrastruktur. Server signering og EPA (Forbedret beskyttelse til godkendelse) der betragtes som de mest afgørende forsvarsmekanismer mod NTLM relæ-angreb. Når disse beskyttelser håndhæves strengt, netværket er beskyttet mod sådanne angreb. Men, da der er forskellige årsager, som kan hindre gennemførelsen af disse forsvar, mange netværk er ikke beskyttet effektivt.
Som allerede nævnt, Microsoft allerede udgivet patches til at løse disse to mangler i oktober 2019 Patch tirsdag. Den generelle råd til admins er at anvende patches, håndhæve NTLM afhjælpninger (server signering og EPA), og anvende NTLM relæ detektion og forebyggelsesteknikker. Andre vigtige tip omfatter overvågning NTLM trafik i deres netværk og begrænse usikker NTLM trafik, at komme af klienter sender LM svar, og forsøger at reducere brugen af NTLM i netværk.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: