В протоколе CredSSP обнаружена критическая уязвимость
Уязвимость в CredSSP позволяет удаленному злоумышленнику похищать данные и выполнять вредоносный код.
Исследователи безопасности из компании Preempt Security обнаружили критическую уязвимость в протоколе Credential Security Support Provider protocol (CredSSP), затрагивающую все версии Windows и позволящющую удаленному злоумышленнику использовать RDP и WinRM для хищения данных и запуска вредоносного кода.
Протокол CredSSP был разработан для использования RDP (Remote Desktop Protocol) и Windows Remote Management (WinRM), который обеспечивает безопасную пересылку учетных данных, зашифрованных клиентом Windows, на целевые серверы для удаленной аутентификации.
Проблема (CVE-2018-0886) является логической криптографической уязвимостью в CredSSP, которая может быть проэксплуатирована злоумышленником с подключением по Wi-Fi или физическим доступом к сети для хищения данных или атаки на службу удаленного вызова процедур.
Когда клиент и сервер аутентифицируются по протоколам соединения RDP и WinRM, злоумышленник может выполнять удаленные команды для компрометации корпоративных сетей.
«Злоумышленник, перехвативший сеанс пользователя с достаточными привилегиями, может выполнять разные команды с привилегиями локального администратора. Это особенно важно в случае контроллеров домена, где большинство удаленных вызовов процедур (DCE/RPC) включены по умолчанию», — пояснили исследователи.
«Данная проблема может сделать предприятия уязвимыми к различным угрозам, включая заражение критических серверов или контроллеров домена», — добавили они.
Поскольку RDP является самым популярным приложением для удаленного входа в систему, и почти все корпоративные клиенты используют RDP, он делает большинство сетей уязвимыми для этой проблемы безопасности.
Исследователи уведомили Microsoft о проблеме в августе 2017 года, однако компания выпустила исправление только 13 марта текущего года в рамках вторника исправлений.
Видео с демонстрацией атаки:
