Исследователи безопасности рассказали об уязвимости обхода функции безопасности в Windows NT LAN Manager (NTLM). Уязвимость CVE-2021-1678 была обнаружена в компоненте сетевого стека и может быть проэксплуатирована удаленно.
Исследователи из Crowdstrike утверждают, что выявленная уязвимость позволяет злоумышленнику ретранслировать сеансы аутентификации NTLM на определенный компьютер и вынудить диспетчер очереди печати принтера через интерфейс MSRPC выполнить произвольный код.
Атаки с ретрансляцией NTLM представляют собой своего рода MitM-атаки, которые обычно позволяют злоумышленникам с доступом к сети перехватывать легитимный трафик аутентификации между клиентом и сервером и ретранслировать эти подтвержденные запросы аутентификации для доступа к сетевым службам.
Успешная эксплуатация уязвимости позволяет злоумышленнику удаленно запускать код на компьютере под управлением Windows или перемещаться по сети в критически важные системы, такие как серверы с контроллерами домена, повторно используя перехваченные учетные данные NTLM.
Кроме этого, в ходе анализа выявленной уязвимости, было обнаружено, что IRemoteWinspool (RPC-интерфейс для удаленного управления диспетчером очереди печати) можно использовать для выполнения ряда RPC-операций и записи произвольных файлов на компьютере с использованием перехваченного сеанса NTLM.
По информации Microsoft уязвимость была устранена путем "увеличения уровня аутентификации RPC и введения новой политики и раздела реестра, позволяющих клиентам отключать или включать режим принудительного применения на стороне сервера для повышения уровня аутентификации".
- 14.04.2024 Mirai разворачивает ботнет на уязвимых NAS D-Link
- 13.04.2024 Крупное обновление Microsoft закрывает две 0-day уязвимости
- 30.03.2024 World Backup Day - время проверить процесс резервного копирования по чек-листу
- 19.11.2023 Microsoft устранила серию критических уязвимостей под атаками
- 12.11.2023 Токены NTLM можно украсть при содействии Microsoft Access