De implementatie van de domeincontroller in Samba blijkt kwetsbaar te zijn voor de ZeroLogin-kwetsbaarheid.

Ontwikkelaars van het Samba-project waarschuwden gebruikers dat onlangs ontdekt een kwetsbaarheid in Windows ZeroLogin (CVE-2020-1472) verschijnt en in de implementatie van de domeincontroller op basis van Samba. De kwetsbaarheid is caused by is afkomstig van tekortkomingen in het MS-NRPC-protocol en de cryptografische algoritme AES-CFB8, en stelt aanvallers in staat om toegang tot een domeincontroller te verkrijgen bij succesvolle exploitatie.

De essentie van de kwetsbaarheid is dat het MS-NRPC-protocol (Netlogon Remote Protocol) bij authenticatiegegevens de mogelijkheid biedt om terug te vallen op een RPC-verbinding zonder versleuteling. Vervolgens kan de aanvaller de zwakte in het AES-CFB8-algoritme gebruiken om een succesvolle aanmelding te vervalsen (spoofing). Gemiddeld zijn er ongeveer 256 pogingen nodig om toegang te krijgen als administrator. Voor het uitvoeren van de aanval is geen werkend account op de domeincontroller vereist — pogingen tot spoofing kunnen worden gedaan met een onjuist wachtwoord. Een authenticatieverzoek via NTLM wordt doorgestuurd naar de domeincontroller, die een toegang weigering zal teruggeven, maar de aanvaller kan dit antwoord vervalsen, waardoor het aangevallen systeem de aanmelding als succesvol beschouwt.

In Samba komt de kwetsbaarheid alleen voor in systemen die de instelling "server schannel = yes" niet gebruiken, wat sinds Samba 4.8 standaard is ingesteld. In het bijzonder kunnen systemen met de instellingen "server schannel = no" en "server schannel = auto" worden gecompromitteerd, aangezien deze in Samba dezelfde tekortkomingen in het AES-CFB8-algoritme toestaan als in Windows.

Bij gebruik van een referentie-exploit gericht op Windows gaat het prototype, in Samba wordt alleen de oproep ServerAuthenticate3 uitgevoerd, terwijl de operatie ServerPasswordSet2 mislukt (de exploit vereist aanpassing voor Samba). Er wordt niets gemeld over de werking van alternatieve exploits (1, 2, 3, 4). Pogingen tot aanvallen op systemen kunnen worden gevolgd via de analyse van logboeken met vermeldingen van ServerAuthenticate3 en ServerPasswordSet in de auditlogs van Samba.

Bron: opennet.ru