کشف باگ جدید در پروتکل NTLM ویندوز

این ماه مایکروسافت یک وصله ‏‏ی امنیتی، برای یک آسیب‏ پذیری جدی (ارتقاء دسترسی) منتشر نموده است که تمامی نسخه ‏های ویندوز، از 2007 به بعد را تحت تأثیر قرار می‏ دهد.

_{^{محققان امنیتی شرکت}}_^Preempt_{^{دو آسیب‏پذیری}}_^zero-day_{^{در پروتکل امنیتی}}_^NTLM_{^{ویندوز کشف کرده ‏اند، هر دوی این آسیب‏ پذیری‏ها به مهاجم اجازه می‏ دهند که یک دامنه جدید ایجاد نموده و آن را به طور کامل کنترل نماید.}}

_{^{NT LAN Manager (NTLM)}}_{^{یک پروتکل احراز هویت قدیمی است که در شبکه‏ های شامل سیستم عامل‏ های ویندوز و همچنین در سیستم ‏های مستقل مورد استفاده قرار می‏گیرد.}}

_^اگرچه_^NTLM_^توسط_^Kerberos_{^{در ویندوز}}_²⁰⁰⁰_{^{جایگزین شده است که امنیت بیشتری را در سیستم ‏های شبکه ‏ای فراهم آورد، اما همچنان توسط مایکروسافت پشتیبانی می‏شود و کماکان به صورت گسترده مورد استفاده قرار می‏گیرد.}}

_^در_^NTLM_{^{، به سادگی، هر زمان که یک کاربر می‏خواهد به سرور متصل شود، سرور یک}}_^challenge_{^{را مطرح می‏کند و کاربر}}_^challenge_{^{را با پسورد هش خود رمزگذاری می‏کند. مهاجم می‏تواند یک نشست همزمان با سروری که می‏خواهد به آن حمله کند ایجاد نماید و از همان}}_^Challenge_{^{استفاده کند، و همان هش رمزگذاری شده را به منظور ایجاد یک احراز هویت موفق در}}_^NTLM_{^{ارسال نماید. با استفاده از احراز هویتِ موفقیت‎آمیزِ}}_^NTLM_{^{، مهاجم می‏تواند یک نشست}}_^Server_^Message_^Block_⁽_^SMB_{^{) را باز نموده و سیستم هدف را با نرم‏افزارهای مخرب آلوده کند.}}

_{^{اولین آسیب‏ پذیری،}}_^Lightweight_^Directory_^Access_^Protocol_⁽_^LDAP_{^{) حفاظت نشده از}}_^NTLM_{^{را درگیر می‏کند، و دومی}}_^Remote_^Desktop_^Protocol_^(RDP)_{^{را تحت تأثیر قرار می‏ دهد.}}

_^LDAP_{^{به اندازه کافی در مقابل حملات}}_^NTLM_{^{مقاوم نیست، حتی زمانی که}}_^LDAP_{^{ساخته شده و معیارهای دفاعی برای آن مشخص گردیده است تنها از حملات}}_^Man_^-_^in-the_^-_^middle_⁽_^MitM_⁾_{^{محافظت می‏کند، نه از رد و بدل شدن اعتبارسنجی‏ ها.}}

_{^{این آسیب‏پذیری به مهاجم با دسترسی}}_^SYSTEM_{^{بر روی سیستم هدف، اجازه می‏دهد که از نشست‏ های}}_^NTLM_{^{ورودی استفاده نموده و عملیات}}_^LDAP_{^{را انجام دهد، مانند به روزرسانی}}_^object_{^{‏های دامنه از طرف کاربر}}_^NTLM_^.

_^Yaron_^Zinar_^از_^Preempt_{^{در رابطه با جزئیات آسیب‎پذیری می‏گوید: "به منظور پی بردن به میزان حساسیت موضوع، باید تمامی پروتکل‏ های ویندوز، که از}}_^API_{^{احرازِ هویتِ ویندوز}}_⁽_^SSPI_⁾_{^{استفاده می}}_^‏_{^{کنند و اجازه می‏ دهند نشست احراز هویت به سمت}}_^NTLM_{^{سوق یابد را}}_{^{بررسی نمود}}_^._^"

_^"_{^{درنتیجه، هر اتصالی در سیستم‌های مورد}}_{^{استفاده نظیر}}_^(SMB_^,_^WMI_^,_^SQL_^,_^HTTP)_{^{با کاربری ادمین به مهاجم اجازه دسترسی به تمام قابلیت‌های ویندوز را می‌دهد}}_^._^"

_{^{دومین آسیب‎پذیریِ}}_^NTLM_{^پروتکل}_{^{Remote Desktop Protocol Restricted-Admin mode}}_{^{را تحت تأثیر قرار می‏دهد. حالتِ}}_{^{RDP Restricted-Admin}}_{^{به کاربران این امکان را می‏دهد که بدون وارد نمودن پسورد از راه دور به یک کامپیوتر متصل گردند.}}

_{^{به گفته‏ی محققانِ}}_^Preempt_^،_^RDP_^Restricted_^-_^Admin_{^{به سیستم‎های احراز هویت اجازه می‏دهد که به سمت}}_^NTLM_{^{سوق یابند. این بدان معنی است که حملات صورت گرفته با}}_^NTLM_^،_{^{مانند اعتبارسنجی و کرک نمودن پسورد، علیه}}_{^{RDP Restricted-Admin}}_{^{نیز می‏تواند اجرا گردد.}}

_{^{زمانی که با آسیب‎پذیری}}_^LDAP_{^{همراه باشد، مهاجم می‏تواند هر زمان که یک ادمین با}}_^RDP_{^{Restricted-Admin}}_{^{متصل می‎شود}}_{^{یک دامنه‏ ی جعلی با حساب کاربری ادمین ایجاد نماید و کنترل کل دامنه را به دست بگیرد.}}

_{^{محققان در ماه آپریل آسیب‎پذیری‏های}}_^LDAP_^و_^RDP_^در_^NTLM_{^{را کشف نموده و به صورت مخفیانه به مایکروسافت گزارش نمودند. با این حال، مایکروسافت آسیب‏پذیری}}_^NTLM_^LDAP_{^{را در ماه مَی اعلام کرد، و نام}}_^CVE_^-_²⁰¹⁷_^-_⁸⁵⁶³_{^{را به آن اختصاص داد، اما باگ}}_^RDP_{^{را رد نمود، و ادعا کرد که این یک مسئله ‏ی شناخته شده است و باید جهت مصون ماندن از هر گونه حمله‏ ی}}_^NTLM_{^{شبکه را پیکربندی نمود.}}

_{^{مایکروسافت در مشاوره خود توضیح داد: "در سناریوی یک حمله ‏ی از راه دور، مهاجم می‎تواند با اجرای یک اپلیکیشن خاص جهت ارسال ترافیک مخرب به}}_^Domain_^Controller_{^{این آسیب‏ پذیری را اکسپلویت نماید. مهاجمی که موفق به اکسپلویت نمودن این آسیب پذیری شد می‏تواند پروسه‏ ها را در یک بستر بالقوه اجرا کند."}}

منبع: مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه ای

برچسب ها: امنیت

گزارش خطا

نظرات بینندگان

مطالب روز

royalpardazco.ir

کشف باگ جدید در پروتکل NTLM ویندوز

آگهی جذب نیروی متخصص

اخذ گواهینامه صلاحیت ارائه خدمات و مجوز فعالیت پدافند سایبری غیر عامل

فهرست برخی مشتریان آژانس‌های هواپیمایی و شرکت های خدمات جهانگردی پروژه‌های آزمون و ارزیابی امنیتی انجام شده

سرویس ویژه تست نفوذ رویال به وب سایت‌های فروش بلیط (آنلاین) آژانس‌های هواپیمایی و شرکت‌های خدمات جهانگردی

حضور فعال رویال پرداز تیام در چهارمین نمایشگاه صنعت بومی سازی پدافند سایبری

ممیزی استقرار استاندارد ISO۲۷۰۰۱ مدیریت امنیت اطلاعات در پالایشگاه نفت بندرعباس

منطقه ویژه خلیج فارس موفق به کسب گواهی امنیت اطلاعات شد