Bezpečnostné varovanie V20180502-01

Dôležitosť Kritická
Klasifikácia Neutajované/TLP WHITE
CVSS Skóre
9.6
Identifikátor
Vulnerability Allows Stealing Windows Credentials via PDF and SMB
Popis
Výskumníci spoločnosti Check Point informovali o bezpečnostnej zraniteľnosti, ktorá sa nachádza v NT LAN Manager (NTLM) súčasti systémov Windows.
Bezpečnostná zraniteľnosť spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému neautentifikovanému útočníkovi prostredníctvom podvrhnutia špeciálne upraveného .pdf súboru získať prihlasovacie údaje k systému Windows vo forme NTLM hashov. Existujú verejne dostupné nástroje, ktoré umožňujú z NTLM hashov získať prihlasovacie údaje k systému Windows.
Uvedená zraniteľnosť sa týka všetkých PDF prehliadačov pre OS Windows. Na to, aby z počítača unikli prístupové údaje, stačí otvoriť špeciálne pripravený .pdf dokument. Únik informácií je automatický, nevyžaduje žiadne potvrdenie od používateľa a nie je nijako indikovaný na obrazovke.
V súčasnosti je verejne dostupný nástroj umožňujúci vytváranie škodlivých .pdf súborov.
Dátum prvého zverejnenia varovania
26.04.2018
CVE
Zasiahnuté systémy
Windows 10
Windows Server 2016
Windows verzie používajúce NT LAN Manager (NTLM)
Následky
Neoprávnený prístup k citlivým údajom, Neoprávnený prístup do systému
Odporúčania
Administrátorom zasiahnutých systémov odporúčame zablokovať NTLM Single Sign On (SSO) autentifikáciu v registroch MS Windows. Postup spočíva vo vytvorení novej hodnoty vo Windows registroch, pomenovanej „EnterpriseAccountSSO“ lokalizovanej na adrese HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa\MSV1_0, pričom jej hodnotu nastavíte na „0“ – zneprístupnenie SSO pre verejné zdroje (internet). Nastavenie povolí SSO, ak je zdroj súkromný (resp. z intranetovej siete) a zablokuje SSO, ak je zdroj bližšie nešpecifikovaný.
Následne je nevyhnutné nastaviť Network Isolation Policy (NIP) tak, aby boli správne zadefinované súkromné, interné (intranetové) a externé siete. Na základe správneho nastavenia NIP je následne aplikované vyššie popísané pravidlo blokovania SSO.
Ďalšou možnosťou je aplikácia firewallových pravidiel s cieľom blokovania SMB protokolu pre externé spojenia.
Taktiež odporúčame poučiť používateľov, aby neotvárali neoverené e-mailové správy, prílohy z neznámych zdrojov a nenavštevovali nedôveryhodné webové stránky.
Zdroje
https://www.bleepingcomputer.com/news/security/pdf-files-can-be-abused-to-steal-windowscredentials/
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV170014
https://research.checkpoint.com/ntlm-credentials-theft-via-pdf-files/

 


« Späť na zoznam