Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
IconAds: quando le app fantasma diventano portali pubblicitari
Ransomware e conflitti d’interesse: ex negoziatore sotto inchiesta per presunti legami con i cybercriminali
In aumento i cyberattacchi dall’Iran: l’allarme delle agenzie di sicurezza americane
Una vulnerabilità di Open VSX Registry mette in pericolo milioni di sviluppatori
Le stampanti multifunzione sono piene di bug! Uno espone la password di admin e Brother fa il record

Bug in Microsoft Exchange e chiunque diventa amministratore

Gen 25, 2019 Marco Schiaffino News, RSS, Vulnerabilità 0

Una nuova tecnica di attacco consente di ottenere i massimi privilegi nel dominio. Nessuna patch disponibile, ma è possibile mitigare il rischio.

Non si tratta di una nuova vulnerabilità ma, potremmo dire, di un cambio di prospettiva che consente di sfruttare delle falle conosciute per portare un nuovo tipo di attacco.

A spiegare i contorni della vicenda in un report è Dirk-jan Mollema, ricercatore della società di sicurezza olandese Fox-IT. Protagonisti sono i sistemi Microsoft, e in particolare gli ecosistemi che usano Active Directory ed Exchange.

Mollema spiega che il problema di fondo riguarda Exchange, che all’interno di un dominio Active Directory ha privilegi abbastanza elevati per consentire un’escalation che permette di diventare amministratori del dominio.

Per farla breve (la spiegazione dettagliata può essere consultata su questa pagina Web) un pirata informatico potrebbe sfruttare una funzione di Exchange per autenticarsi usando l’account del server Exchange, sfruttare NTLM (NT LAN Manager) e portare un attacco che consente di rubare le password (sotto forma di hash) di qualsiasi utente e utilizzarle per impersonarli.

Per portare l’attacco sono necessari solo due semplici strumenti (disponibili su GitHub) scritti in Python, che consentono di violare i sistemi Microsoft aggiornati.

Nel suo studio, Mollema illustra la tecnica di attacco in due scenari differenti. Nel primo sfrutta delle credenziali di accesso compromesse (il che significa che per portare l’attacco è necessario prima averle ottenute) ma spiega poi che sfruttando un attacco relay al “solito” Server Message Block è possibile raggiungere lo stesso risultato anche senza avere a disposizione delle credenziali valide.

Il ricercatore ha testato la tecnica su tutte le possibili configurazioni (compreso Exchange 2019 su Windows Server 2019) e l’escalation di privilegi avviene sistematicamente.

In attesa di una patch, Mollema suggerisce una serie di configurazioni che consentono di mitigare il rischio di un attacco, cominciando da una rimodulazione dei privilegi di Exchange all’interno del dominio.

Condividi l'articolo