Un ricercatore ha scoperto una falla denominata PhantomRPC che Microsoft non considera una vulnerabilità per la quale intende rilasciare una patch.
PhantomRPC coinvolge Windows Chiamata di procedura remota (RPC), il nucleo della comunicazione tra Windows processi. La vulnerabilità consente a un processo con diritti di impersonificazione di elevarsi al livello SYSTEM impersonando client con privilegi elevati che si connettono a un server RPC fasullo.
Il ricercatore ha presentato una relazione tecnica dettagliata in cui vengono descritti cinque vettori di attacco, tra cui la coercizione, l'interazione con l'utente o i servizi in background. Ha avvertito che i potenziali vettori sono «praticamente illimitati», poiché il problema di fondo è di natura architettonica.
Microsoft, tuttavia, ha classificato il problema come «moderato», ha rifiutato la ricompensa, ha deciso di non assegnare un CVE (un codice nell'elenco delle vulnerabilità e delle esposizioni comuni) e ha chiuso il caso senza assegnargli un numero di tracciamento. La sua posizione è che la tecnica richiede un computer già compromesso e non consente l'accesso non autenticato o remoto.
Gli esperti non concordano con la valutazione di Microsoft. La loro preoccupazione è che Microsoft stia minimizzando una tecnica sistemica di escalation dei privilegi locali presente in tutti i sistemi supportati. Windows versioni.
Il problema
Al centro di questo problema c'è il fatto che Windows Il runtime RPC non verifica in modo sufficiente che il server a cui si connette un client con privilegi elevati sia effettivamente l'endpoint legittimo previsto.
Se un server RPC legittimo non è raggiungibile (ad esempio perché il servizio si è arrestato, è stato configurato in modo errato, non è stato installato o a causa di una condizione di competizione), un aggressore in possesso del privilegio SeImpersonatePrivilege può avviare un server RPC falso che «colma il vuoto» utilizzando la stessa interfaccia e lo stesso endpoint.
Quando un utente SYSTEM o un utente con privilegi elevati si connette a questo server fasullo, utilizzando un livello di impersonificazione che consente al server di assumere l'identità del cliente, l'autore dell'attacco può richiamare RpcImpersonateClient e elevare immediatamente i loro privilegi a livello SYSTEM.
Dal punto di vista di Microsoft, la possibilità di eseguire un server RPC non autorizzato in questo modo rientra nella categoria dei sistemi «già compromessi».
Privilegio di impersonificazione
Per comprendere meglio la questione, dobbiamo approfondire il funzionamento di SeImpersonatePrivilege.
Fondamentalmente, SeImpersonatePrivilege è il Windows Autorizzazione che consente a un programma di "fingere di essere te" dopo che hai già effettuato l'accesso, in modo che possa eseguire operazioni per tuo conto utilizzando il tuo livello di accesso.
È necessario perché molti servizi di sistema e applicazioni di tipo server (condivisione di file, server RPC, server COM, applicazioni web) devono eseguire operazioni per conto di un utente, come leggere i suoi file o applicare criteri di gruppo.
Se un malintenzionato ottiene questo privilegio, può creare un servizio o un server fasullo e attendere che un account con privilegi più elevati si colleghi ad esso. Quando quel servizio con privilegi elevati si connette, il malintenzionato può intercettare il suo token di sicurezza e impersonarlo, passando di fatto da un account con privilegi limitati al controllo completo del sistema su quella macchina.
Protezione
Un portavoce di Microsoft ha rilasciato la seguente dichiarazione:
«Questa tecnica richiede un computer già compromesso e non consente l'accesso non autenticato o remoto. Ogni aggiornamento rappresenta un compromesso tra la compatibilità esistente e il rischio per i clienti, e noi continuiamo a impegnarci per rafforzare costantemente la sicurezza dei nostri prodotti. Raccomandiamo ai clienti di seguire le migliori pratiche di sicurezza, tra cui la limitazione dei privilegi amministrativi e l'applicazione del principio del privilegio minimo.»
A nostro avviso, mitigare adeguatamente PhantomRPC richiederebbe profonde modifiche all'architettura RPC, cosa difficile da fare su quella esistente Windows versioni senza compromettere la compatibilità. È forse qualcosa che vedremo nelle versioni future, vista la portata delle modifiche necessarie.
Cosa puoi fare:
- Poiché PhantomRPC è un elemento di una catena più ampia, è ancora molto importante mantenerlo Windows aggiornato.
- Utilizza il tuo account amministratore con moderazione e solo per le attività che richiedono tale livello di autorizzazione.
- Utilizza una soluzione anti-malware aggiornata e in tempo reale in grado di rilevare e bloccare attività sospette volte all'escalation dei privilegi.
- Evita di disattivare o "rafforzare" i servizi alla cieca, poiché un servizio dannoso potrebbe subentrare al loro posto.
Per rispondere alla domanda del titolo: sembra una “funzionalità” che può essere sfruttata in molti modi; una funzionalità che ha ormai superato il suo modello di minaccia originario. I responsabili della sicurezza devono considerarla un rischio permanente, piuttosto che un singolo CVE.
“Una delle migliori suite di sicurezza informatica al mondo.”
Secondo CNET.Leggi la loro recensione →
