Microsoft wird PhantomRPC nicht patchen: Feature oder Bug?

Ein Forscher hat eine Schwachstelle namens „PhantomRPC“ entdeckt, die Microsoft nicht als Sicherheitslücke betrachtet, für die ein Patch geplant ist.

PhantomRPC beinhaltet Windows Remote Procedure Call (RPC), der Kern der Kommunikation zwischen Windows Prozesse. Die Schwachstelle ermöglicht es einem Prozess mit Identitätswechselrechten, auf SYSTEM-Rechte auszuweiten, indem er sich als hochprivilegierte Clients ausgibt, die eine Verbindung zu einem gefälschten RPC-Server herstellen.

Der Forscher legte einen detaillierten technischen Bericht vor, in dem fünf Angriffswege beschrieben wurden, darunter Nötigung, Benutzerinteraktion oder Hintergrunddienste. Er warnte, dass die potenziellen Angriffsvektoren „praktisch unbegrenzt“ seien, da das Grundproblem architektonischer Natur sei.

Microsoft stufte das Problem jedoch als „moderat“ ein, lehnte eine Prämie ab, verzichtete auf die Vergabe einer CVE-Nummer (ein Eintrag in der Liste der Common Vulnerabilities and Exposures) und schloss den Fall ohne weitere Nachverfolgung. Das Unternehmen vertritt den Standpunkt, dass die Technik einen bereits kompromittierten Rechner voraussetzt und keinen nicht authentifizierten oder Fernzugriff ermöglicht.

Experten widersprachen Microsofts Einschätzung. Ihre Befürchtung ist, dass Microsoft eine systemische Technik zur lokalen Rechteausweitung herunterspielt, die in allen unterstützten Systemen vorhanden ist. Windows Versionen.

Das Thema

Im Kern dieses Problems steht, dass Windows Die RPC-Laufzeitumgebung überprüft nicht ausreichend, ob der Server, mit dem sich ein Client mit hohen Berechtigungen verbindet, der beabsichtigte legitime Endpunkt ist.

Wenn ein legitimer RPC-Server nicht erreichbar ist (beispielsweise weil der Dienst beendet wurde, falsch konfiguriert oder nicht installiert ist oder aufgrund einer Race Condition), kann ein Angreifer mit der Berechtigung „SeImpersonatePrivilege“ einen gefälschten RPC-Server starten, der diese Lücke unter Verwendung derselben Schnittstelle und desselben Endpunkts „füllt“.

Wenn sich ein SYSTEM-Benutzer oder ein Benutzer mit hohen Berechtigungen mit diesem gefälschten Server verbindet und dabei eine Identitätsübernahme-Stufe verwendet, die es dem Server ermöglicht, sich als dieser Benutzer auszugeben, kann der Angreifer RpcImpersonateClient und ihre Berechtigungen sofort auf SYSTEM erweitern.

Aus Sicht von Microsoft fällt die Möglichkeit, auf diese Weise einen nicht autorisierten RPC-Server zu betreiben, unter die Kategorie „bereits kompromittiert“.

SeImpersonatePrivilege

Um das Problem besser zu verstehen, müssen wir uns genauer ansehen, was „SeImpersonatePrivilege“ bewirkt.

Im Grunde ist SeImpersonatePrivilege das Windows Eine Berechtigung, die es einem Programm erlaubt, sich nach dem Einloggen als Sie auszugeben, um in Ihrem Namen mit Ihren Zugriffsrechten Aktionen auszuführen.

Dies ist erforderlich, da viele Systemdienste und serverbasierte Anwendungen (Dateifreigaben, RPC-Server, COM-Server, Webanwendungen) im Auftrag eines Benutzers Aktionen ausführen müssen, beispielsweise das Lesen seiner Dateien oder das Anwenden von Gruppenrichtlinien.

Erlangt ein Angreifer diese Berechtigung, kann er einen gefälschten Dienst oder Server erstellen und darauf warten, dass ein Konto mit höheren Berechtigungen eine Verbindung zu diesem herstellt. Sobald dieser Dienst mit hohen Berechtigungen eine Verbindung aufnimmt, kann der Angreifer dessen Sicherheitstoken abfangen und sich als dieser ausgeben, wodurch er effektiv von einem Konto mit geringeren Berechtigungen auf die vollständige SYSTEM-Kontrolle über diesen Rechner aufsteigt.

Schutz

Ein Microsoft-Sprecher gab folgende Stellungnahme ab:

„Diese Technik setzt einen bereits kompromittierten Rechner voraus und ermöglicht keinen nicht authentifizierten oder Fernzugriff. Bei jedem Update müssen wir einen Kompromiss zwischen bestehender Kompatibilität und Kundenrisiko finden, und wir sind weiterhin bestrebt, unsere Produkte kontinuierlich zu sichern. Wir empfehlen unseren Kunden, bewährte Sicherheitsverfahren zu befolgen, darunter die Einschränkung von Administratorrechten und die Anwendung des Prinzips der geringsten Berechtigungen.“

Unserer Ansicht nach würde eine angemessene Abschwächung von PhantomRPC tiefgreifende Änderungen an der RPC-Architektur erfordern, was auf bestehenden Systemen schwierig umzusetzen ist. Windows Versionen, ohne die Kompatibilität zu beeinträchtigen. Angesichts des erforderlichen Änderungsumfangs ist das vielleicht etwas, was wir in zukünftigen Versionen sehen werden.

Was Sie tun können:

Da PhantomRPC nur ein Teil einer größeren Kette ist, ist es dennoch sehr wichtig, es im Auge zu behalten. Windows aktualisiert.
Verwenden Sie Ihr Administratorkonto nur in Maßen und ausschließlich für Aufgaben, die diese Berechtigungen erfordern.
Verwenden Sie eine aktuelle Echtzeit-Anti-Malware-Lösung, die verdächtige Aktivitäten zur Rechteausweitung erkennen und blockieren kann.
Vermeiden Sie es, Dienste blindlings zu deaktivieren oder zu „härten“, da ein bösartiger Dienst an ihre Stelle treten könnte.

Um die Frage im Titel zu beantworten: Es scheint sich um eine „Funktion“ zu handeln, die auf vielfältige Weise missbraucht werden kann und deren ursprüngliches Bedrohungsmodell längst überholt ist. Sicherheitsverantwortliche müssen sie als fortbestehende Risiken betrachten und nicht als einmalige CVEs.