Microsoft nie zamierza wprowadzać poprawki dla PhantomRPC: funkcja czy błąd?

Jeden z badaczy odkrył lukę o nazwie PhantomRPC, której firma Microsoft nie uznaje za zagrożenie wymagające wprowadzenia poprawki.

PhantomRPC obejmuje Windows Zdalne wywołanie procedury (RPC), rdzeń komunikacji między Windows procesów. Luka umożliwia procesowi z uprawnieniami do podszywania się pod kogoś innego eskalację do SYSTEMU poprzez podszywanie się pod klientów o wysokich uprawnieniach, którzy łączą się z fałszywym serwerem RPC.

Badacz przedstawił szczegółowy raport techniczny, w którym nakreślił pięć ścieżek ataku, w tym wymuszanie, interakcję z użytkownikiem lub usługi działające w tle. Ostrzegł, że potencjalne wektory ataku są „w praktyce nieograniczone”, ponieważ podstawowa przyczyna leży w samej architekturze systemu.

Firma Microsoft zaklasyfikowała jednak tę lukę jako „umiarkowaną”, odmówiła wypłaty nagrody, nie przyznała jej numeru CVE (miejsca na liście Common Vulnerabilities and Exposures) i zamknęła sprawę bez dalszego monitorowania. Firma stoi na stanowisku, że technika ta wymaga komputera, który został już przejęty, i nie umożliwia dostępu bez uwierzytelnienia ani zdalnego dostępu.

Eksperci nie zgodzili się z oceną Microsoftu. Obawiali się, że Microsoft bagatelizuje systemową technikę lokalnej eskalacji uprawnień, która występuje we wszystkich obsługiwanych systemach. Windows wersje.

Problem

Sednem tego problemu jest to, że Windows Środowisko wykonawcze RPC nie weryfikuje w wystarczającym stopniu, czy serwer, z którym łączy się klient o wysokich uprawnieniach, jest zamierzonym, legalnym punktem końcowym.

Jeśli nie można nawiązać połączenia z prawidłowo działającym serwerem RPC (na przykład z powodu zatrzymania usługi, nieprawidłowej konfiguracji, braku instalacji lub sytuacji wyścigu), osoba atakująca posiadająca uprawnienie SeImpersonatePrivilege może uruchomić fałszywy serwer RPC, który „wypełni tę lukę”, korzystając z tego samego interfejsu i punktu końcowego.

Gdy użytkownik z uprawnieniami SYSTEM lub klient o wysokich uprawnieniach łączy się z tym fałszywym serwerem, korzystając z poziomu podszywania się, który pozwala serwerowi podszywać się pod klienta, osoba atakująca może wywołać RpcImpersonateClient i natychmiast podnieść ich uprawnienia do poziomu SYSTEM.

Z punktu widzenia firmy Microsoft możliwość uruchomienia w ten sposób nieautoryzowanego serwera RPC zalicza się do kategorii „systemów, których bezpieczeństwo zostało już naruszone”.

SeImpersonatePrivilege

Aby lepiej zrozumieć tę kwestię, musimy przyjrzeć się bliżej działaniu funkcji SeImpersonatePrivilege.

Zasadniczo SeImpersonatePrivilege to Windows uprawnienie pozwalające programowi „udawać, że jest Tobą” po Twoim zalogowaniu, dzięki czemu może wykonywać czynności w Twoim imieniu, wykorzystując Twój poziom dostępu.

Jest to konieczne, ponieważ wiele usług systemowych i aplikacji typu serwerowego (udostępnianie plików, serwery RPC, serwery COM, aplikacje internetowe) musi wykonywać czynności w imieniu użytkownika, takie jak odczytywanie jego plików lub stosowanie zasad grupy.

Jeśli osoba atakująca uzyska takie uprawnienia, może utworzyć fałszywą usługę lub serwer i czekać, aż nawiąże z nią połączenie konto o wyższych uprawnieniach. Gdy ta usługa o wysokich uprawnieniach nawiąże połączenie, osoba atakująca może przechwycić jej token bezpieczeństwa i podszyć się pod nią, skutecznie przechodząc od konta o niższych uprawnieniach do pełnej kontroli SYSTEM na tym komputerze.

Ochrona

Rzecznik firmy Microsoft wydał następujące oświadczenie:

„Technika ta wymaga komputera, który został już zainfekowany, i nie umożliwia dostępu bez uwierzytelnienia ani zdalnego dostępu. Każda aktualizacja stanowi kompromis między zachowaniem zgodności z istniejącymi rozwiązaniami a ryzykiem dla klientów, a my nieustannie dążymy do wzmacniania zabezpieczeń naszych produktów. Zalecamy klientom stosowanie się do najlepszych praktyk w zakresie bezpieczeństwa, w tym ograniczanie uprawnień administracyjnych oraz stosowanie zasady minimalnych uprawnień”.

Naszym zdaniem, aby skutecznie ograniczyć zagrożenie PhantomRPC, konieczne byłyby głębokie zmiany w architekturze RPC, co jest trudne do wykonania w przypadku istniejących systemów. Windows wersje bez utraty kompatybilności. Być może zobaczymy to w przyszłych wersjach, biorąc pod uwagę skalę potrzebnych zmian.

Co możesz zrobić:

• Ponieważ PhantomRPC jest częścią większego łańcucha, nadal bardzo ważne jest, aby zachować Windows zaktualizowano.
• Korzystaj z konta administratora z umiarem i tylko do zadań, które wymagają takich uprawnień.
• Należy korzystać z aktualnego oprogramowania antywirusowego działającego w czasie rzeczywistym, które potrafi wykrywać i blokować podejrzane działania mające na celu podwyższenie uprawnień.
• Należy unikać ślepego wyłączania lub „zabezpieczania” usług, ponieważ na ich miejsce może wkroczyć złośliwa usługa.

Odpowiadając na pytanie zawarte w tytule: wygląda to na „funkcję”, którą można nadużywać na wiele sposobów; taką, która przestała już odpowiadać pierwotnemu modelowi zagrożeń. Specjaliści ds. bezpieczeństwa muszą traktować je jako stałe zagrożenia, a nie jako jednorazowe luki CVE.

---

---