348
Il protocollo NTLM è in uso nei sistemi Windows Server (e versioni Enterprise) fin dal 2007 ed è un protocollo di autenticazione ancora usato oggi, in particolare nelle seguenti condizioni (fonte Wikipedia):
- Il client si sta autenticando ad un server utilizzando un indirizzo IP
- Il client si sta autenticando ad un server che appartiene ad una foresta Active Directory differente che ha un legacy trust NTLM invece di un trust inter-foresta
- Il client si sta autenticando ad un server che non appartiene ad un dominio
- Non esiste un dominio Active Directory (ovvero quando esiste un workgroup oppure una rete peer-to-peer)
Nelle condizioni sopra-elencate infatti non viene usato Kerberos, il successore predefinito di autenticazione introdotto con Windows 2000. Le vulnerabilità sono state scoperte dai ricercatori Preempt e sono le seguenti:
La prima vulnerabilità coinvolge anche il Lightweight Directory Access Protocol (LDAP), ovvero permetterebbe ad un attaccante con privilegi SYSTEM di usare le richieste NTLM in entrata per eseguire operazioni LDAP per conto dell’utente NTLM. Questo permetterebbe all’attaccante di creare un nuovo account domain administrator e prendere il controllo dell’intera rete. Di seguito un video dimostrativo dell’attacco:
La seconda vulnerabilità risiede nel RDP Restricted-Admin, ovvero l’accesso remoto ad una macchina senza inserire alcuna password (avviabile tramite il comando Mstsc.exe /RestrictedAdmin).
I ricercatori Preempt hanno quindi scoperto che il protocollo di autenticazione in uso, ovvero Kerberos, può esser forzato al downgrade ed utilizzare l’autenticazione NTLM: cosa che permette ad un attaccante, combinata con la prima vulnerabilità, di eseguire un attacco per ottenere l’accesso al sistema.
Microsoft ha corretto le vulnerabilità, ulteriori informazioni e download di seguito:
Possono esser applicate le seguenti contromisure:
- aggiornare subito i server vulnerabili ai problemi evidenziati
- impostare che i pacchetti LDAP e SMB siano firmati digitalmente
- aumentare la protezione delle connessioni LDAP seguendo questa KB
Approfondimenti: New LDAP & RDP Relay Vulnerabilities in NTLM
Via: The Hacker News
