CVE-2020-1472 | NetLogon特权提升缝隙公告
颁布功夫 2020-09-150x00 缝隙概述
CVE ID | CVE-2020-1472 | 时 间 | 2020-09-15 |
类 型 | 等 级 | 高危 | |
远程利用 | 影响领域 |
微软在2020年8月11日星期二颁布例行安全布告时披露，当攻击者使用Netlogon远程和谈（MS-NRP）（又称为“ Netlogon特权提升缝隙”）创建与域节造器的易受攻击的Netlogon安全通路衔接时，将存在特权提升缝隙 。该缝隙跟踪为CVE-2020-1472，CVSS评分为10分，影响面广，缝隙利用后果严沉 。
0x01 缝隙详情
CVE-2020-1472是一个特权提升缝隙，其由于对Netlogon会话使用了不安全的AES-CFB8加密 。AES-CFB8尺度要求，每个纯文本字节（如密码）都必须拥有随机化的初始化向量（IV），以便不能猜测密码 。
Netlogon中的ComputeNetlogonCredential函数将IV设置为固定的16位，这意味着攻击者能够节造解密的文本 。当尝试向域节造器（DC）进行身份验证时，攻击者能够利用此缺点来仿照网络上任何推算机的身份 。而后可能会产生进一步的攻击，蕴含齐全节造Windows域 。此表，攻击者还能够运行Impacket的“ secretsdump”剧本从指标域节造器提取用户哈希列表 。
为了利用此缝隙，攻击者必要从与指标一样的局域网（LAN）上的推算机提议攻击 。易受攻击的客户端或露出于互联网的DC自身无法利用 。该攻击以糊弄性登录假装成正常的域登录尝试 。Active Directory（AD）必要将衔接的客户端鉴别为在其逻辑拓扑中，而表部地址则不会 。
该缝隙影响领域如下：
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 (Server Core installation)
Windows Server 2019
Windows Server 2019 (Server Core installation)
Windows Server, version 1903 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
Windows Server, version 2004 (Server Core installation)
目前，该缝隙的PoC已颁布到GitHub 上，这将引起整个安全社区的宽泛兴致和试验 。由于钻研人员一向在致力进行成功的开发，严沉且引人瞩主张缝隙往往更能引起安全钻研人员和攻击者的宽泛关注 。
0x02 措置建议
Microsoft在分阶段解决此缝隙 。
初始阶段：
从2020年8月11日颁布的Windows更新起头 。这些更新将使域节造器（DC）在默认情况下�；indows设备，纪录不切合划定的设备发现的事务，并能够选择启用对拥有显著异常的所有域衔接设备的�；� 。
第二阶段：
于2021年第一季度颁布，标志取过渡到执行阶段 。DC将被置于强造模式，该模式要求所有Windows和非Windows设备都通过Netlogon安全通路使用安全的远程过程挪用（RPC） 。
建复建议：
1.目前微软官方已颁布安全更新，建议使用Windows Update进行更新 。
补丁链接地址：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1472
2.该缝隙可使用安全 RPC 来解决，具体信息请参考微软官方手册：
https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2020-1472
3.可在DC上开启强造模式 。
具体信息请参考微软官方文档：
《How to manage the changes in Netlogon secure channel connections associated with CVE-2020-1472》
文档链接：
https://support.microsoft.com/zh-cn/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc
0x03 有关新闻
https://zh-cn.tenable.com/blog/cve-2020-1472-zerologon-vulnerability-in-netlogon-could-allow-attackers-to-hijack-windows?tns_redirect=true
0x04 参考链接
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472
https://nvd.nist.gov/vuln/detail/CVE-2020-1472
https://github.com/SecuraBV/CVE-2020-1472
0x05 功夫线
2020-08-11 微软官方颁布缝隙布告
2020-09-15 VSRC颁布安全公告
京公网安备11010802024551号