La mise en œuvre du contrôleur de domaine Samba est vulnérable à la vulnérabilité ZeroLogin

Développeurs de projets Samba averti utilisateurs qui ont récemment identifié Vulnérabilité Windows ZeroLogin (CVE-2020-1472) apparaît et dans la mise en œuvre d'un contrôleur de domaine basé sur Samba. Vulnérabilité causé failles dans le protocole MS-NRPC et l'algorithme cryptographique AES-CFB8, et s'il est exploité avec succès, permet à un attaquant d'obtenir un accès administrateur sur un contrôleur de domaine.

L'essence de la vulnérabilité est que le protocole MS-NRPC (Netlogon Remote Protocol) vous permet de recourir à une connexion RPC sans cryptage lors de l'échange de données d'authentification. Un attaquant peut alors exploiter une faille dans l'algorithme AES-CFB8 pour usurper une connexion réussie. En moyenne, il faut environ 256 tentatives d’usurpation d’identité pour se connecter en tant qu’administrateur. Pour mener une attaque, vous n'avez pas besoin d'avoir un compte fonctionnel sur un contrôleur de domaine ; des tentatives d'usurpation d'identité peuvent être effectuées à l'aide d'un mot de passe incorrect. La demande d'authentification NTLM sera redirigée vers le contrôleur de domaine, qui renverra un refus d'accès, mais l'attaquant peut usurper cette réponse et le système attaqué considérera la connexion réussie.

Dans Samba, la vulnérabilité n'apparaît que sur les systèmes qui n'utilisent pas le paramètre « server schannel = yes », qui est la valeur par défaut depuis Samba 4.8. En particulier, les systèmes avec les paramètres « server schannel = no » et « server schannel = auto » peuvent être compromis, ce qui permet à Samba d'utiliser les mêmes failles dans l'algorithme AES-CFB8 que dans Windows.

Lors de l'utilisation d'une référence préparée par Windows exploiter un prototype, dans Samba, seul l'appel à ServerAuthenticate3 fonctionne et l'opération ServerPasswordSet2 échoue (l'exploit nécessite une adaptation pour Samba). À propos des performances des exploits alternatifs (1, 2, 3, 4) rien n'est signalé. Vous pouvez suivre les attaques sur les systèmes en analysant la présence d'entrées mentionnant ServerAuthenticate3 et ServerPasswordSet dans les journaux d'audit Samba.

Source: opennet.ru