Netlogonの脆弱性(CVE-2020-1472)

gamzatti
Vote 0 Votes

出向復帰してから、技術的なことをやる時間がめっきり減ってしまい、今朝やっと時間が取れて、検証に取りかかることが出来ました。。

かなり出遅れてしまった感がありますが、先立って検証した友人の助けを借りて、今更ながら調査を開始しました。

概要としては、Netlogon Remote Protocolにおいてクレデンシャルを生成するための関数(ComputeNetlogonCredential関数)に

脆弱性があり、認証で使用する暗号文(クレデンシャル)を256分の1の確率で的中させることができるというものです。

本来ランダム化されているべき値が、その関数ではゼロに固定されており、チャレンジをゼロにして認証を試行することで、最大256回の試行で認証を突破できます。

コンピュータアカウントは失敗によるロックがかからないので、コンピュータアカウントで認証を突破し、DCのコンピュータアカウントのパスワードを無しに設定することができます。

その後は、パスワード無しのDCのコンピュータアカウントでDCにアクセスできます。

コンピュータアカウントは実質そのコンピュータの特権を持っているので、krbtgtを含むDC上に対するアカウントのパスワードダンプなどが可能になります。

(コンピュータアカウントで空のパスワードは、禁止されていないそうです)

攻撃コードも公開されていますので、ご注意ください。

これから、対策についても、検証したいと思います。

それにしても、Silver Ticketと言い、コンピュータアカウントって悪用されると怖いですね。。。

No TrackBacks

TrackBack URL: http://www.reverse-edge.com/cgi-bin/mt/mt-tb.cgi/118

Leave a comment

About this Entry

This page contains a single entry by gamzatti published on September 18, 2020 11:34 PM.

SIGRed was the previous entry in this blog.

CVE-2020-1472 (Zerologon)*mimikatz is the next entry in this blog.

Find recent content on the main index or look in the archives to find all content.