Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Cohesity Identity Resilience: da Cohesity e Semperis una soluzione per proteggere le infrastrutture di identità aziendali
MuddyWater si evolve: attacchi più sofisticati e infrastruttura più resiliente
Un attacco supply chain ha compromesso oltre 40 pacchetti NPM
TeamItaly, presentata la nuova squadra di giovani cyber defender
CERT-AGID 6-12 settembre: i ransomware mostrano una nuova tattica di ingegneria sociale

Bug in Microsoft Exchange e chiunque diventa amministratore

Gen 25, 2019 Marco Schiaffino News, RSS, Vulnerabilità 0

Una nuova tecnica di attacco consente di ottenere i massimi privilegi nel dominio. Nessuna patch disponibile, ma è possibile mitigare il rischio.

Non si tratta di una nuova vulnerabilità ma, potremmo dire, di un cambio di prospettiva che consente di sfruttare delle falle conosciute per portare un nuovo tipo di attacco.

A spiegare i contorni della vicenda in un report è Dirk-jan Mollema, ricercatore della società di sicurezza olandese Fox-IT. Protagonisti sono i sistemi Microsoft, e in particolare gli ecosistemi che usano Active Directory ed Exchange.

Mollema spiega che il problema di fondo riguarda Exchange, che all’interno di un dominio Active Directory ha privilegi abbastanza elevati per consentire un’escalation che permette di diventare amministratori del dominio.

Per farla breve (la spiegazione dettagliata può essere consultata su questa pagina Web) un pirata informatico potrebbe sfruttare una funzione di Exchange per autenticarsi usando l’account del server Exchange, sfruttare NTLM (NT LAN Manager) e portare un attacco che consente di rubare le password (sotto forma di hash) di qualsiasi utente e utilizzarle per impersonarli.

Per portare l’attacco sono necessari solo due semplici strumenti (disponibili su GitHub) scritti in Python, che consentono di violare i sistemi Microsoft aggiornati.

Nel suo studio, Mollema illustra la tecnica di attacco in due scenari differenti. Nel primo sfrutta delle credenziali di accesso compromesse (il che significa che per portare l’attacco è necessario prima averle ottenute) ma spiega poi che sfruttando un attacco relay al “solito” Server Message Block è possibile raggiungere lo stesso risultato anche senza avere a disposizione delle credenziali valide.

Il ricercatore ha testato la tecnica su tutte le possibili configurazioni (compreso Exchange 2019 su Windows Server 2019) e l’escalation di privilegi avviene sistematicamente.

In attesa di una patch, Mollema suggerisce una serie di configurazioni che consentono di mitigare il rischio di un attacco, cominciando da una rimodulazione dei privilegi di Exchange all’interno del dominio.

Condividi l'articolo