Zerologon: Werden Sie sofort Domain-Admin, indem Sie die Netlogon-Kryptographie unterwandern (CVE-2020-1472)

Letzten Monat hat Microsoft eine sehr interessante Sicherheitslücke gepatcht, die es einem Angreifer, der in Ihrem internen Netzwerk Fuß gefasst hat, ermöglicht, mit einem Klick Domänen-Administrator zu werden. Alles, was erforderlich ist, ist, dass eine Verbindung zum Domain Controller aus Sicht des Angreifers möglich ist.

Tom Tervoort, Sicherheitsexperte bei Bureau Veritas Cybersecurity, entdeckte bereits letztes Jahr eine weniger schwerwiegende Netlogon-Schwachstelle, die die Übernahme von Workstations ermöglichte, aber der Angreifer benötigte dafür eine Person-in-the-Middle (PitM) Position. Jetzt entdeckte er diese zweite, viel schwerwiegendere (CVSS-Score: 10.0) Schwachstelle in dem Protokoll. Indem er ein Authentifizierungs-Token für eine bestimmte Netlogon-Funktionalität fälschte, konnte er eine Funktion aufrufen, um das Computer-Passwort des Domain Controllers auf einen bekannten Wert zu setzen. Anschließend kann der Angreifer dieses neue Kennwort verwenden, um die Kontrolle über den Domänencontroller zu übernehmen und die Anmeldedaten eines Domänenadministrators zu stehlen.

Die Schwachstelle rührt von einem Fehler in einem kryptografischen Authentifizierungsschema her, das vom Netlogon Remote Protocol verwendet wird, das unter anderem zur Aktualisierung von Computerpasswörtern genutzt werden kann. Diese Schwachstelle ermöglicht es Angreifern, sich als ein beliebiger Computer auszugeben, einschließlich des Domänencontrollers selbst, und in dessen Namen Remote Procedure Calls auszuführen.

Secura rät allen, den Patch so schnell wie möglich auf allen Domänencontrollern zu installieren. Bitte beachten Sie den Hinweis von Microsoft. Wir haben auf Github ein Test-Tool veröffentlicht, das Sie hier herunterladen können: https://github.com/SecuraBV/CVE-2020-1472. Damit können Sie feststellen, ob ein Domänencontroller verwundbar ist oder nicht.

Wenn Sie sich für die technischen Details hinter dieser ziemlich einzigartigen Sicherheitslücke interessieren und wissen möchten, wie sie entdeckt wurde, laden Sie das Whitepaper unten herunter. Für weitere Informationen zu diesem CVE wenden Sie sich bitte an Secura unter cybersecurity@bureauveritas.com.