CVE-2020-1472
Microsoft Netlogon Privilege Escalation Vulnerability
Beschreibung
CVE-2020-1472, weithin bekannt als Zerologon, ist eine Privilege-Escalation-Schwachstelle im Microsoft Netlogon Remote Protocol (MS-NRPC). Der Fehler ermöglicht es einem nicht authentifizierten Angreifer, der eine Netlogon-Secure-Channel-Verbindung zu einem Domänencontroller aufbauen kann, Berechtigungen zu eskalieren und Domänenadministrator-Zugriff zu erlangen. Diese Schwachstelle ist besonders gefährlich, da sie eine vollständige Domänenübernahme von einer netzwerknahen Position aus ermöglicht. Die CISA hat CVE-2020-1472 in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und die Notfalldirektive 20-04 herausgegeben, was die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 94,38 % (99,97. Perzentil) und bestätigter Ransomware-Nutzung stellt die Zerologon-Schwachstelle eine der kritischsten Bedrohungen für Windows Active Directory-Umgebungen dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows server 1903 | Alle Versionen |
| microsoft | windows server 1909 | Alle Versionen |
| microsoft | windows server 2004 | - |
| microsoft | windows server 2008 | r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | - |
| microsoft | windows server 2019 | - |
| microsoft | windows server 20h2 | - |
| fedoraproject | fedora | 31; 32; 33 |
| opensuse | leap | 15.1; 15.2 |
| canonical | ubuntu linux | 14.04; 16.04; 18.04; 20.04 |
| synology | directory server | < 4.4.5-0101 |
| samba | samba | < 4.10.18; >= 4.11.0, < 4.11.13; >= 4.12.0, < 4.12.7 |
| debian | debian linux | 9.0 |
| oracle | zfs storage appliance kit | 8.8 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
- http://lists.opensuse.org/opensuse-security-announce/2020-09/msg00080.html(Mailing List, Third Party Advisory)
- http://lists.opensuse.org/opensuse-security-announce/2020-09/msg00086.html(Mailing List, Third Party Advisory)
- http://packetstormsecurity.com/files/159190/Zerologon-Proof-Of-Concept.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/160127/Zerologon-Netlogon-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.openwall.com/lists/oss-security/2020/09/17/2(Mailing List, Third Party Advisory)
- https://lists.debian.org/debian-lts-announce/2020/11/msg00041.html(Mailing List, Third Party Advisory)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/H4OTFBL6YDVFH2TBJFJIE4FMHPJEEJK3/(Mailing List, Third Party Advisory)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ST6X3A2XXYMGD4INR26DQ4FP4QSM753B/(Mailing List, Third Party Advisory)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TAPQQZZAT4TG3XVRTAFV2Y3S7OAHFBUP/(Mailing List, Third Party Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472(Patch, Vendor Advisory)
- https://security.gentoo.org/glsa/202012-24(Third Party Advisory)
- https://usn.ubuntu.com/4510-1/(Third Party Advisory)
- https://usn.ubuntu.com/4510-2/(Third Party Advisory)
- https://usn.ubuntu.com/4559-1/(Third Party Advisory)
- https://www.kb.cert.org/vuls/id/490028(Third Party Advisory, US Government Resource)
- https://www.oracle.com/security-alerts/cpuApr2021.html(Patch, Third Party Advisory)
- https://www.synology.com/security/advisory/Synology_SA_20_21(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-1472(US Government Resource)
Schwachstellentyp
CWE-330: Use of Insufficiently Random Values
Die Zerologon-Schwachstelle resultiert aus einem kryptographischen Fehler im Netlogon-Authentifizierungsprotokoll, bei dem der Initialisierungsvektor (IV) während des AES-CFB8-Verschlüsselungsprozesses auf lauter Nullen gesetzt wird. Diese Verwendung eines statischen, nicht zufälligen IV ermöglicht es einem Angreifer, Authentifizierungstoken zu fälschen, indem er wiederholt Authentifizierungsversuche mit einer Null-Client-Challenge durchführt, wobei er ungefähr bei jedem 256. Versuch erfolgreich ist.
Mehr erfahren: CWE-330 — Use of Insufficiently Random Values
Auswirkungsanalyse
CVE-2020-1472 wurde vom Hersteller mit einem CVSS-3.1-Score von 5,5 (MITTEL) bewertet, während das NVD es mit 10,0 (KRITISCH) einstuft, was die tatsächliche Schwere einer vollständigen Domänenübernahme widerspiegelt. Die Schwachstelle erfordert lokalen Netzwerkzugang, hat aber eine niedrige Angriffskomplexität und erfordert keine Authentifizierung oder Benutzerinteraktion. Vertraulichkeit (Hoch): Ein Angreifer kann vollen Lesezugriff auf alle Active Directory-Objekte, Anmeldedaten und sensible Daten der gesamten Domäne erlangen. Mit einem EPSS-Score von 94,38 % und bekannter Ransomware-Nutzung hat CVE-2020-1472 eine der höchsten Ausnutzungswahrscheinlichkeiten aller Schwachstellen und ist damit ein vorrangiges Behebungsziel für jede Organisation, die Windows-Domänencontroller betreibt.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2020-1472 über Packet Storm Security, mit zusätzlichem Proof-of-Concept-Code unter Zerologon Proof of Concept. Die CISA hat die aktive Ausnutzung in freier Wildbahn über den KEV-Katalog bestätigt und die Notfalldirektive 20-04 speziell für diese Schwachstelle herausgegeben. Die Ransomware-Nutzung ist als bekannt bestätigt, was darauf hinweist, dass Ransomware-Betreiber Zerologon in ihre Angriffswerkzeuge für laterale Bewegung und Domänenübernahme integriert haben. Der EPSS-Score von 94,38 % (99,97. Perzentil) zeigt nahezu sichere Ausnutzungsaktivität an und zählt diese zu den am aktivsten ausgenutzten Schwachstellen.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA-Notfalldirektive 20-04: Updates gemäß Herstelleranweisungen anwenden. Microsoft hat CVE-2020-1472 in einem phasenweisen Rollout behoben, mit dem initialen Patch im August 2020 und dem Enforcement-Modus ab Februar 2021.
- Überprüfen Sie, dass alle Domänencontroller mit Microsoft Windows Server (2008 R2, 2012, 2012 R2, 2016, 2019, 1903, 1909, 2004, 20H2) aktualisiert wurden. Aktualisieren Sie auch Samba-Installationen (< 4.10.18, 4.11.x < 4.11.13, 4.12.x < 4.12.7), Synology Directory Server (< 4.4.5-0101) und andere betroffene Drittanbieter-Implementierungen.
- Aktivieren Sie den Netlogon-Secure-Channel-Enforcement-Modus auf allen Domänencontrollern und überwachen Sie die Ereignis-IDs 5827, 5828 und 5829, die auf nicht konforme Geräteverbindungen hinweisen, die verwundbare Netlogon-Secure-Channels verwenden.
- Überwachen Sie Domänencontroller auf Kompromittierungsindikatoren, einschließlich unerwarteter Passwortänderungen für Computerkonten, anomaler Netlogon-Authentifizierungsmuster und Anzeichen von Credential-Dumping oder lateraler Bewegung. Führen Sie Active Directory-Integritätsprüfungen durch.
- Implementieren Sie Netzwerksegmentierung, um den direkten Zugriff auf Domänencontroller aus nicht-administrativen Netzwerken einzuschränken, und setzen Sie Erkennungsregeln für Zerologon-Ausnutzungsversuche in Ihren SIEM- und Netzwerküberwachungstools ein.
Technische Details
CVE-2020-1472 nutzt eine fundamentale kryptographische Schwäche im Authentifizierungs-Handshake des Netlogon Remote Protocol (MS-NRPC) aus. Die Schwachstelle entsteht, weil die ComputeNetlogonCredential-Funktion AES-CFB8-Verschlüsselung mit einem statischen Initialisierungsvektor aus lauter Nullen verwendet. Wenn ein Angreifer eine Authentifizierungsanfrage mit einer Null-Client-Challenge und Null-Client-Credential sendet, besteht eine Wahrscheinlichkeit von etwa 1:256, dass der Server die Authentifizierung aufgrund der vorhersagbaren Verschlüsselungsausgabe akzeptiert. Der CVSS-Vektorstring des Herstellers (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N) unterschätzt die Auswirkungen erheblich, während die NVD-Bewertung (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, Score 10,0) die Realität besser widerspiegelt, dass ein Angreifer das Maschinenkontopasswort des Domänencontrollers zurücksetzen und so eine vollständige Domänenübernahme einschließlich Credential-Extraktion aus NTDS.dit durchführen kann.
Häufig gestellte Fragen
Wird CVE-2020-1472 aktiv ausgenutzt?
Ja. CVE-2020-1472 (Zerologon) ist eine der am aktivsten ausgenutzten Schwachstellen, gelistet im CISA-KEV-Katalog mit einer eigenen Notfalldirektive (ED 20-04). Ransomware-Betreiber nutzen diese Schwachstelle nachweislich. Der EPSS-Score von 94,38 % (99,97. Perzentil) zeigt nahezu sichere Ausnutzung an.
Welche Produkte sind betroffen?
CVE-2020-1472 betrifft Microsoft Windows Server-Versionen 2008 R2, 2012, 2012 R2, 2016, 2019, 1903, 1909, 2004 und 20H2. Drittanbieter-Implementierungen des Netlogon-Protokolls sind ebenfalls betroffen, darunter Samba (< 4.10.18, 4.11.x < 4.11.13, 4.12.x < 4.12.7), Synology Directory Server, Fedora, openSUSE Leap, Ubuntu Linux, Debian Linux und Oracle ZFS Storage Appliance Kit.
Wie behebe ich CVE-2020-1472?
Wenden Sie die Microsoft-Sicherheitsupdates an und aktivieren Sie den Netlogon-Secure-Channel-Enforcement-Modus auf allen Domänencontrollern. Aktualisieren Sie alle betroffenen Drittanbieter-Implementierungen einschließlich Samba. Überwachen Sie die Ereignis-IDs 5827-5829 zur Identifizierung nicht konformer Geräte und schränken Sie den Netzwerkzugriff auf Domänencontroller ein.
Wie schwerwiegend ist CVE-2020-1472?
CVE-2020-1472 gilt als eine der schwersten Schwachstellen in Active Directory-Umgebungen. Während der Hersteller-CVSS-Score 5,5 (MITTEL) beträgt, stuft das NVD sie mit 10,0 (KRITISCH) ein. Die Schwachstelle ermöglicht eine vollständige Domänenübernahme aus einer nicht authentifizierten Netzwerkposition mit bestätigter Ransomware-Nutzung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.