Alvarlegur veikleiki er til staðar í Windows netþjónum (Windows Server) sem kallaður hefur verið ZeroLogon (CVE-2020-1472). Hefur hann fengið CVSS grunneinkunina (Base Score) 10.0 CRITICAL, en CVSS er notað til að leggja tölulegt mat á alvarleika veikleika. Nánar má t.d. lesa um veikleikann í skýrslu Secura.
Veikleikinn er til staðar í Windows netþjónum (Windows Server). Allar útgáfur sem ekki hafa verið uppfærðar með öryggisviðbót frá ágúst 2020 eru veikar fyrir. Árásin gerir óprúttnum aðila kleift að taka yfir óðalsstjóra (Domain Congroller) kerfis og getur því haft víðtæk og alvarleg áhrif á netkerfi í heild.
Árás byggir á veikleika í Netlogon samskiptastaðlinum (protocol). Óprúttinn aðili getur falsað auðkenningartóka (authentication token) sem gerir honum kleift að endursetja lykilorð á óðalsstjóranum. Með því er hægt að taka stjórn á honum og komast yfir aðgang stjórnanda (administrator). Þar með er hægt að ná stjórn á öllu netkerfi aðila.
Veikleikinn var lagfærður í öryggisuppfærslu sem var hluti af uppfærslupakka Microsoft í ágúst 2020. Secura hefur gefið út tól til að kanna hvort óðalsstjóri er veikur fyrir ZeroLogin.
Snemma var fullyrt að virkur árásarkóði væri fáanlegur og einnig hefur slíkur kóði verið birtur opinberlega. Alvarleiki veikleikans og áhættan sem hann veldur er slík að DHS í Bandaríkjunum hefur fyrirskipað uppfærslu kerfa opinberra stofnana til að fyrirbyggja nýtingu veikleikans – sjá nánar ED 20-04 frá DHS. Þann 24. september kom tilkynning frá Microsoft um að veikleikinn væri í virkri notkun hjá óprúttnum aðilum.
Þar sem um er að ræða alvarlegan veikleika sem er að því virðist í virkri notkun óprúttinna aðila er brýnt að uppfærslur séu framkvæmdar sem allra fyrst.
Síðast uppfært: 25.9.2020
Tilvísanir
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-1472
- https://nvd.nist.gov/vuln/detail/CVE-2020-1472
- https://www.secura.com/blog/zero-logon
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472
- https://github.com/SecuraBV/CVE-2020-1472
- https://twitter.com/wdormann/status/1305564045282598912
- https://github.com/VoidSec/CVE-2020-1472
- https://threatpost.com/dire-patch-warning-zerologon/159404/
- https://cyber.dhs.gov/ed/20-04/
- https://twitter.com/MsftSecIntel/status/1308941504707063808
- https://www.computerweekly.com/news/252489539/Race-to-patch-as-Microsoft-confirms-Zerologon-attacks-in-the-wild
