Amerikansk myndighed advarer om kritisk sikkerhedshul i Windows-servere: »Kan udnyttes på tre sekunder«

...til CISA, DHS, CVE eller Microsoft ?

• https://www.cisa.gov/blog/2020/09/18/windows-server-vulnerability-requir...
• https://cyber.dhs.gov/ed/20-04/
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-1472
• https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2...

Patchen er en måned gammel men kræver at man ændrer noget i registry på DC'erne - problemet er at der er mange upatchede systemer og sandsynligvis mange systemer hvor registry ændringen potentielt saboterer "noget andet".

Fiksen, på systemer som har fået patchen, er at sætte HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters\FullSecureChannelProtection til 1

https://support.microsoft.com/en-us/help/4557222/how-to-manage-the-chang...

Patch lukker hullet uden registry ændringen. Jeg antager at patch lukker muligheden for IV = 0 - Og dermed ændrer kompleksiteten fra nul til at der skal bruges ressourcer.

Registry ændring rulles ud med februar patches. Det ødelægger kompatibilitet med meget gamle klienter. Microsoft logger nu med patchen om der er noget der bruger den gamle metode, så man har tid til at finde sine museumsfund inden februar.

Exploit uden patch er triviel - Eskalerede selv til "patch eller sluk" torsdag formiddag i sidste uge da exploits var ude.

Det er overrasker mig mest er, at der ikke er konstateret mailspam kampagner med exploit endnu. Der kan ikke gå mange dage.

Patch lukker hullet uden registry ændringen. Jeg antager at patch lukker muligheden for IV = 0 - Og dermed ændrer kompleksiteten fra nul til at der skal bruges ressourcer.

Det er ikke umiddelbart sådan jeg tolkede Microsofts artikel: det der er rullet ud i august gør det muligt at lukke hullet men selve hullet lukkes først af registry ændringen.

Ingen tests fungerer mod en patchet maskine, ligeledes siger DHS også at patch er nok.

Har kørt exploits mod begge typer maskiner, og andre har samme erfaring. Ingen af de exploits der er på GitHub virker på en patchet maskine. Andre rapporterer det samme.

Registry key tvinger authentication til at køre secure channel, altså gammel protokol i en forbindelse der allerede er sikret/valideret.

Det store hul skyldes at klient kan vælge en IV med 0'er, og dermed sikre at den krypterede shared secret bliver 0. Der er taget lidt specielle valg omkring både kryptering, og hvordan det anvendes. Når shared secret så er godkendt er der et gammelt kald der kan anvendes på samme forbindelse til at sætte et nyt maskinpassword. Det kan også være dette er disabled (?)

Når man så har sat et nyt password, f.eks. på den DC man lige har talt med, så logger man efterfølgende på DC'en og påstår at man er DC'en selv, og bruger det nye password. Herefter kan man så pushe opdateringer til AD. F.eks. GPO'er, nye brugere og passwords etc.

En konsekvens af et hack skulle være issues i AD synkronisering og diverse andre problemer. Men principielt kan man lavet reset af DC'ens password i AD efterfølgende, så der måske ikke når at komme events.

Men som sagt, trivielt at udnytte i eksempelvis mailware payload i en mail.

Har kørt exploits mod begge typer maskiner, og andre har samme erfaring. Ingen af de exploits der er på GitHub virker på en patchet maskine. Andre rapporterer det samme.

Mange tak. Det syntes jeg ikke fremgår ret tydeligt af Microsofts side.

Men som sagt, trivielt at udnytte i eksempelvis mailware payload i en mail.

Overskriften i CW i går "antydede" at det er dette hul som blev udnyttet mod BlueWater Shipping - hvis det er tilfældet så mon ikke det er kommet via en mail ? (artikel var bag paywall)

Upatchet. Hvilket sprog er det?

Upatchet. Hvilket sprog er det?

I betragtning af at patchet allerede er en fordanskning så er upatchet det også, bare i begge ender, men jeg går ud fra at du foretrækker at vi udskifter patchet med lappet?