Zerologon : Devenez instantanément administrateur de domaine en détournant la cryptographie Netlogon (CVE-2020-1472)

Le mois dernier, Microsoft a corrigé une vulnérabilité très intéressante, "zerologon", qui permettrait à un pirate ayant un pied dans votre réseau interne de devenir administrateur de domaine en un seul clic. Tout ce qu'il faut, c'est qu'une connexion au contrôleur de domaine soit possible du point de vue de l'attaquant.

L'expert en sécurité de Bureau Veritas Cybersecurity, Tom Tervoort, avait déjà découvert l'année dernière une vulnérabilité Netlogon moins grave qui permettait de prendre le contrôle de postes de travail, mais l'attaquant avait besoin d'une position de personne du milieu (PitM) pour que cela fonctionne. Aujourd'hui, il a découvert cette deuxième vulnérabilité, beaucoup plus grave (score CVSS : 10.0), dans le protocole. En forgeant un jeton d'authentification pour une fonctionnalité Netlogon spécifique, il a pu appeler une fonction pour définir le mot de passe de l'ordinateur du contrôleur de domaine à une valeur connue. Ensuite, l'attaquant peut utiliser ce nouveau mot de passe pour prendre le contrôle du contrôleur de domaine et voler les identifiants d'un administrateur de domaine.

La vulnérabilité provient d'une faille dans un schéma d'authentification cryptographique utilisé par le protocole Netlogon Remote Protocol, qui peut entre autres être utilisé pour mettre à jour les mots de passe des ordinateurs. Cette faille permet aux attaquants de se faire passer pour n'importe quel ordinateur, y compris le contrôleur de domaine lui-même, et d'exécuter des appels de procédure à distance en leur nom.

Secura recommande vivement à tous les utilisateurs d'installer le correctif sur tous leurs contrôleurs de domaine le plus rapidement possible. Veuillez consulter l'avis de Microsoft. Nous avons publié un outil de test sur Github, que vous pouvez télécharger ici : https://github.com/SecuraBV/CVE-2020-1472 qui peut vous dire si un contrôleur de domaine est vulnérable ou non.

Si vous êtes intéressé par les détails techniques de cette vulnérabilité unique et par la manière dont elle a été découverte, téléchargez le livre blanc ci-dessous. Pour plus d'informations sur le CVE, contactez Secura à l'adresse cybersecurity@bureauveritas.com.