शोधकर्ताओं ने एक भेद्यता की खोज की है
Windows सर्वर सेवा के लिए दूरस्थ प्रक्रिया कॉल (RPC) में, जो कर सकता था
एक हमलावर को एक विशिष्ट डोमेन नियंत्रक (डीसी) पर नियंत्रण प्राप्त करने की अनुमति दें
नेटवर्क कॉन्फ़िगरेशन और रिमोट कोड निष्पादित करें।
दुर्भावनापूर्ण अभिनेता भी इसका फायदा उठा सकते हैं
सर्वर को निष्पादित करने के लिए सर्वर के प्रमाणपत्र मैपिंग को संशोधित करने की भेद्यता
स्पूफिंग।
भेद्यता CVE-2022-30216,
जो बिना पैच किए विंडोज 11 और विंडोज सर्वर 2022 मशीनों में मौजूद था
जुलाई के पैच मंगलवार में संबोधित किया, लेकिन a रिपोर्ट
अकामाई के शोधकर्ता बेन बार्न्स, जिन्होंने भेद्यता की खोज की, की पेशकश
बग पर तकनीकी विवरण।
पूर्ण आक्रमण प्रवाह पूर्ण नियंत्रण प्रदान करता है
डीसी, इसकी सेवाओं और डेटा पर।
रिमोट के लिए कॉन्सेप्ट एक्सप्लॉइट का सबूत
कोड निष्पादन
एसएमबी में क्विक से अधिक भेद्यता पाई गई,
एक ट्रांसपोर्ट-लेयर नेटवर्क प्रोटोकॉल, जो संचार को सक्षम बनाता है
सर्वर। यह नेटवर्क संसाधनों जैसे फाइलों, शेयरों और से कनेक्शन की अनुमति देता है
प्रिंटर। प्राप्त करने वाले विश्वास के आधार पर प्रमाण-पत्र भी उजागर किए जाते हैं
सिस्टम पर भरोसा किया जा सकता है।
बग किसी दुर्भावनापूर्ण अभिनेता को प्रमाणित करने की अनुमति दे सकता है
एक डोमेन उपयोगकर्ता के रूप में SMB सर्वर पर फ़ाइलों को बदलने और उन्हें सेवा देने के लिए
अकामाई के अनुसार ग्राहकों को जोड़ना। अवधारणा के प्रमाण में, शोधकर्ता
प्रमाणीकरण जबरदस्ती के माध्यम से क्रेडेंशियल्स चोरी करने के लिए बग का शोषण किया।
विशेष रूप से, उन्होंने एक स्थापित किया NTLM
रिले आक्रमण. अब बहिष्कृत, एनटीएलएम एक कमजोर प्रमाणीकरण प्रोटोकॉल का उपयोग करता है
क्रेडेंशियल्स और सत्र कुंजी आसानी से प्रकट कर सकते हैं। एक रिले हमले में, बुरे कलाकार
एक प्रमाणीकरण पर कब्जा कर सकते हैं और इसे दूसरे सर्वर पर रिले कर सकते हैं - जो वे कर सकते हैं
फिर समझौता किए गए उपयोगकर्ता के साथ दूरस्थ सर्वर को प्रमाणित करने के लिए उपयोग करें
विशेषाधिकार, पार्श्व में स्थानांतरित करने और विशेषाधिकारों को बढ़ाने की क्षमता प्रदान करते हैं
एक सक्रिय निर्देशिका डोमेन के भीतर।
"हमने जो दिशा चुनी वह लेना था
प्रमाणीकरण जबरदस्ती का लाभ, "अकामाई सुरक्षा शोधकर्ता
ओपीर हरपज कहते हैं। "हमारे द्वारा चुने गए विशिष्ट एनटीएलएम रिले हमले में शामिल हैं
सक्रिय निर्देशिका सीएस सेवा के लिए क्रेडेंशियल्स को रिले करना, जो कि है
नेटवर्क में प्रमाणपत्रों के प्रबंधन के लिए जिम्मेदार।
एक बार कमजोर कार्य कहा जाता है,
पीड़ित तुरंत एक हमलावर-नियंत्रित को नेटवर्क क्रेडेंशियल्स वापस भेजता है
मशीन। वहां से, हमलावर पूर्ण रिमोट कोड निष्पादन (आरसीई) प्राप्त कर सकते हैं
शिकार मशीन, हमले के कई अन्य रूपों के लिए एक लॉन्चिंग पैड स्थापित करना
समेत Ransomware,
डेटा एक्सफिल्ट्रेशन, और अन्य।
"हमने सक्रिय निर्देशिका पर हमला करना चुना है
डोमेन नियंत्रक, जैसे कि आरसीई सबसे अधिक प्रभावशाली होगा," हरपाज़ कहते हैं।
अकामाई के बेन बर्निया इसके साथ बताते हैं
मामला, और चूंकि कमजोर सेवा प्रत्येक विंडोज़ पर एक मुख्य सेवा है
मशीन, आदर्श सिफारिश कमजोर प्रणाली को पैच करना है।
"सेवा को अक्षम करना संभव नहीं है
समाधान," वे कहते हैं।
सर्वर स्पूफिंग क्रेडेंशियल की ओर ले जाता है
चोरी
बड ब्रूमहेड, वायाकू के सीईओ, शब्दों में कहते हैं
संगठनों पर नकारात्मक प्रभाव पड़ता है, इससे सर्वर स्पूफिंग भी संभव है
बग।
"सर्वर-स्पूफिंग अतिरिक्त खतरों को जोड़ता है
संगठन के लिए, जिसमें मैन-इन-द-मिडल अटैक, डेटा एक्सफिल्ट्रेशन,
डेटा से छेड़छाड़, रिमोट कोड निष्पादन और अन्य कारनामे, ”वह कहते हैं।
इसका एक सामान्य उदाहरण के साथ देखा जा सकता है
इंटरनेट ऑफ थिंग्स (IoT) डिवाइस विंडोज एप्लिकेशन सर्वर से जुड़े हैं; जैसे, आई.पी
वीडियो प्रबंधन को होस्ट करने वाले Windows सर्वर से जुड़े सभी कैमरे
आवेदन.
"अक्सर IoT उपकरणों का उपयोग करके स्थापित किया जाता है
समान पासवर्ड; एक तक पहुँच प्राप्त करें, आपने उन सभी तक पहुँच प्राप्त कर ली है," उन्होंने
कहते हैं। "उस सर्वर का स्पूफिंग डेटा अखंडता खतरों को सक्षम कर सकता है,
डीपफेक लगाना भी शामिल है।”
ब्रूमहेड कहते हैं कि बुनियादी स्तर पर, ये
शोषण के रास्ते आंतरिक प्रणाली के भरोसे को तोड़ने के उदाहरण हैं - विशेष रूप से
प्रमाणीकरण जबरदस्ती के मामले में।
वितरित कार्यबल ने हमले को बढ़ाया
सतह
माइक पार्किन, वरिष्ठ तकनीकी इंजीनियर
वल्कन साइबर का कहना है कि ऐसा नहीं लगता कि यह समस्या अभी तक बनी हुई है
जंगली में उत्तोलन, एक खतरा अभिनेता सफलतापूर्वक एक वैध और धोखा दे रहा है
विश्वसनीय सर्वर, या किसी अविश्वसनीय सर्वर पर प्रमाणीकरण के लिए बाध्य करने के कारण हो सकता है a
समस्याओं की मेजबानी।
"ऐसे कई कार्य हैं जो हैं
सर्वर और क्लाइंट के बीच 'विश्वास' संबंध पर आधारित और स्पूफिंग
किसी हमलावर को उनमें से किसी भी रिश्ते का लाभ उठाने देगा," उन्होंने नोट किया।
पार्किन एक वितरित कार्यबल को विस्तृत करता है
खतरे की सतह काफी अधिक है, जो इसे ठीक से करना अधिक चुनौतीपूर्ण बनाता है
उन प्रोटोकॉल तक पहुंच नियंत्रित करें जिन्हें संगठन के बाहर नहीं देखा जाना चाहिए
स्थानीय पर्यावरण।
ब्रूमहेड हमले के बजाय इशारा करता है
सतह को बड़े करीने से डेटा केंद्रों में समाहित किया जा रहा है, वितरित कार्यबल के पास है
शारीरिक और तार्किक रूप से हमले की सतह का भी विस्तार किया।
"नेटवर्क के भीतर एक मुकाम हासिल करना
इस विस्तारित हमले की सतह के साथ आसान है, खत्म करना कठिन है, और प्रदान करता है
कर्मचारियों के घर या व्यक्तिगत नेटवर्क में छलकने की संभावना है,"
वह कहते हैं।
उनके दृष्टिकोण से, शून्य विश्वास बनाए रखना
या कम से कम विशेषाधिकार प्राप्त दर्शन साख और पर निर्भरता को कम करता है
साख चोरी होने का प्रभाव।
पार्किन कहते हैं कि जोखिम को कम करना
इस तरह के हमलों के लिए खतरे की सतह को कम करने की आवश्यकता होती है, उचित आंतरिक
अभिगम नियंत्रण, और पूरे वातावरण में पैच पर अद्यतित रहना।
"उनमें से कोई भी एक पूर्ण बचाव नहीं है, लेकिन
वे जोखिम को कम करने के लिए काम करते हैं," वे कहते हैं।
