安基網 首頁 資訊 安全報 查看內容

微軟NTLM協議曝出重大漏洞 現有緩解措施很難徹底修復

2019-6-12 11:00| 投稿: xiaotiger |來自: 互聯網


免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!

摘要: 近日,外媒報道了微軟 NTLM 協議中存在的新漏洞,或導致在任何 Windows 計算機上執行遠程代碼、或對任何支持 Windows 集成身份驗證(WIA)的 Web 服務器(如 Exchange 和 ADFS)進行身份驗證。具體說來是,Perrmpt 研究小組發現了由三個邏輯缺陷組成的兩個嚴重漏洞,且所有 Windows 版本都易受到攻擊影 ...

近日,外媒報道了微軟 NTLM 協議中存在的新漏洞,或導致在任何 Windows 計算機上執行遠程代碼、或對任何支持 Windows 集成身份驗證(WIA)的 Web 服務器(如 Exchange 和 ADFS)進行身份驗證。具體說來是,Perrmpt 研究小組發現了由三個邏輯缺陷組成的兩個嚴重漏洞,且所有 Windows 版本都易受到攻擊影響。更糟糕的是,新漏洞可繞過微軟此前已部署的緩解措施。

NTLM 中繼流程示意(來自:HelpNetSecurity,viaMSPU)

據悉,NTLM Relay 是 Active Directory 環境中最常用的攻擊技術之一。雖然微軟此前已經開發了幾種緩解 NTLM 中繼攻擊的緩解措施,但 Preempt 研究人員發現其仍然存在隱患:

● 消息完整性代碼(MIC)字段可確保攻擊者不會篡改 NTLM 消息,但研究人員發現的旁路攻擊,可以卸下 MIC 的保護,并修改 NTLM 身份驗證流程中的各個字段,如簽名協商。

● SMB 會話簽名可防止攻擊者轉發 NTLM 身份驗證消息以建立 SMB 和 DCE / RPC 會話,但旁路攻擊仍能將 NTLM 身份驗證請求中繼到域中的任何服務器(包括域控制器),同時建立簽名會話以執行遠程代碼。如果中繼身份驗證屬于特權用戶,則會對全域造成損害。

● 增強型身份驗證保護(EPA)可防止攻擊者將 NTLM 消息轉發到 TLS 會話,但攻擊者仍可繞過并修改 NTLM 消息,以生成合法的通道綁定信息。這使得攻擊者可利用用戶權限連接到各種 Web 服務,并執行讀取用戶電子郵件(通過中繼到 OWA 服務器)、甚至連接到云資源(通過中繼到 ADFS 服務器)等各種操作。

Preempt 負責地向微軟公司披露了上述漏洞,后者在周二的時候發布了 CVE-2019-1040 和 CVE-2019-1019 補丁來應對這些問題。

然而 Preempt 警告稱,這么做還不足以充分應對 NTLM Relay 帶來的安全隱患,因為管理員還需要對某些配置加以更改,才能確保有效的防護。

下面是管理員的建議操作:

(1)執行修補程序 - 確保為工作站和服務器打上了所需的補丁。

(2)強制 SMB 簽名,放置攻擊者發起更簡單的 NTLM 中繼攻擊,請務必在網絡中的所有計算機上啟用 SMB 簽名。

(3)屏蔽 NTLMv1 - 該版本相當不安全,建議通過適當的組策略來完全封禁。

(4)強制執行 LDAP / S 簽名 - 要防止 LDAP 中的 NTLM 中繼,請在域控制器上強制執行 LDAP 簽名和 LDAPS 通道綁定。

(5)實施 EPA - 為防止 Web 服務器上的 NTLM 中繼,請強化所有 Web 服務器(OWA / ADFS),僅接受使用 EPA 的請求。

(6)減少 NTLM 的使用 - 因為即便采用了完整的安全配置,NTLM 也會比 Kerberos 帶來更大的安全隱患,建議在不必要的環境中徹底棄用。



小編推薦:欲學習電腦技術、系統維護、網絡管理、編程開發和安全攻防等高端IT技術,請 點擊這里 注冊賬號,公開課頻道價值萬元IT培訓教程免費學,讓您少走彎路、事半功倍,好工作升職加薪!

本文出自:https://www.toutiao.com/i6701448917550105091/

免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!


鮮花

握手

雷人

路過

雞蛋

相關閱讀

最新評論

 最新
返回頂部
云南快乐十分开奖结果前三