CVE-2022-26925
Microsoft Windows LSA Spoofing Vulnerability
Beschreibung
CVE-2022-26925 ist eine Spoofing-Schwachstelle in der Microsoft Windows Local Security Authority (LSA), die es einem Angreifer ermöglicht, einen Domänencontroller zur Authentifizierung gegenüber dem Angreifer mittels NTLM zu zwingen. Durch Ausnutzung dieses Fehlers kann ein Angreifer den Domänencontroller dazu bringen, seinen NTLM-Authentifizierungs-Hash an ein vom Angreifer kontrolliertes System zu senden, was Relay-Angriffe ermöglicht, die zur vollständigen Domänenkompromittierung führen können. CISA hat CVE-2022-26925 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen. Mit einem EPSS-Score von 37,4 % (97,1. Perzentil) hat diese Schwachstelle eine sehr hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.19297 |
| microsoft | windows 10 1607 | < 10.0.14393.5125 |
| microsoft | windows 10 1809 | < 10.0.17763.2928 |
| microsoft | windows 10 1909 | < 10.0.18363.2274 |
| microsoft | windows 10 20h2 | < 10.0.19042.1706 |
| microsoft | windows 10 21h1 | < 10.0.19043.1706 |
| microsoft | windows 10 21h2 | < 10.0.19044.1706 |
| microsoft | windows 11 21h2 | < 10.0.22000.675 |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.5125 |
| microsoft | windows server 2019 | < 10.0.17763.2928 |
| microsoft | windows server 2022 | < 10.0.20348.707 |
| microsoft | windows server 20h2 | < 10.0.19042.1706 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26925(Patch, Vendor Advisory)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2022-26925(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-26925(US Government Resource)
Schwachstellentyp
CWE-287: Improper Authentication
CVE-2022-26925 nutzt eine unsachgemäße Authentifizierung im Windows-LSA-Subsystem aus, bei der das Authentifizierungsprotokoll manipuliert werden kann, um den Domänencontroller zur Initiierung einer NTLM-Authentifizierung mit einem vom Angreifer kontrollierten Endpunkt zu zwingen. Die LSA validiert die Legitimität von Authentifizierungsanfragen nicht ordnungsgemäß, wodurch ein Angreifer ausgehende NTLM-Authentifizierung auslösen kann, die dann zur Kompromittierung anderer Dienste in der Active-Directory-Umgebung weitergeleitet werden kann.
Mehr erfahren: CWE-287 — Improper Authentication
Auswirkungsanalyse
CVE-2022-26925 stellt eine kritische Bedrohung für Active-Directory-Umgebungen dar, da sie NTLM-Relay-Angriffe ermöglicht, die zur vollständigen Domänenkompromittierung führen können. Die Schwachstelle erlaubt einem nicht authentifizierten Angreifer, der den Domänencontroller im Netzwerk erreichen kann, diesen zur NTLM-Authentifizierung zu zwingen und den Authentifizierungs-Hash des Domänencontrollers abzufangen. Dieser Hash kann dann an andere Dienste weitergeleitet werden, um sich als Domänencontroller zu authentifizieren und Domänenadministrator-Privilegien zu erlangen. Die Vertraulichkeit der gesamten Domäne ist gefährdet; die Integrität ist kompromittiert, da Domänen-Zugriff die Modifikation jedes AD-Objekts erlaubt; und die Verfügbarkeit kann durch Domänencontroller-Manipulation beeinträchtigt werden. Der EPSS-Score von 37,4 % (97,1. Perzentil) bestätigt sehr hohe Ausnutzungsaktivität.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2022-26925 bestätigt, indem die Schwachstelle am 1. Juli 2022 in den Katalog der bekannten ausgenutzten Schwachstellen aufgenommen wurde, mit einer Behebungsfrist bis zum 22. Juli 2022. Der EPSS-Score von 37,4 % (97,1. Perzentil) zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit an. CISAs Hinweis enthält eine besondere Warnung: Das erforderliche Update kann die PIV/CAC-Authentifizierung auf Domänencontrollern ohne zusätzliche Konfigurationsänderungen beeinträchtigen. Die Schwachstelle steht in Zusammenhang mit der PetitPotam-Angriffstechnik, die in der Sicherheits-Community umfassend dokumentiert und mit Tools versehen ist.
Behebung
- Microsoft-Sicherheitsupdates sorgfältig einspielen: Installieren Sie die Juni-2022-Microsoft-Patches, lesen Sie aber die CISA-Implementierungsanleitung sorgfältig, bevor Sie auf Domänencontrollern deployen, da das Update die PIV/CAC-Authentifizierung ohne zusätzliche Konfiguration beeinträchtigen kann.
- EPA durchsetzen und NTLM wo möglich deaktivieren: Aktivieren Sie Extended Protection for Authentication (EPA) auf allen kritischen Diensten und deaktivieren Sie NTLM-Authentifizierung wo möglich, um die Verwendung von Kerberos zu erzwingen.
- NTLM-Verkehr auf Netzwerkebene einschränken: Implementieren Sie Netzwerkrichtlinien, die NTLM-Authentifizierungsverkehr auf notwendige Pfade beschränken und ausgehende NTLM von Domänencontrollern zu nicht vertrauenswürdigen Endpunkten blockieren.
- Auf NTLM-Relay-Angriffsindikatoren überwachen: Setzen Sie Monitoring für verdächtige NTLM-Authentifizierungsmuster ein, insbesondere Domänencontroller, die ausgehende NTLM-Authentifizierung an unerwartete Ziele initiieren.
- SMB-Signierung auf allen Domänencontrollern implementieren: Aktivieren Sie obligatorische SMB-Signierung, um Relay-Angriffe zu verhindern, die abgefangene NTLM-Hashes für SMB-basierte Authentifizierung nutzen.
Technische Details
CVE-2022-26925 ist eine Spoofing-Schwachstelle in der Windows Local Security Authority (LSA), die NTLM-Coercion-Angriffe gegen Domänencontroller ermöglicht. Die Schwachstelle erlaubt es einem Angreifer, die LSA des Domänencontrollers dazu zu bringen, einen NTLM-Authentifizierungs-Handshake mit einem vom Angreifer kontrollierten Endpunkt zu initiieren. Sobald der Domänencontroller seine NTLM-Authentifizierungsantwort sendet (die einen Hash seiner Anmeldedaten enthält), kann der Angreifer diese Authentifizierung an andere Dienste in der Domäne weiterleiten, um den Domänencontroller zu imitieren. Dieser Angriff steht in Zusammenhang mit der PetitPotam-Technik, die das MS-EFSRPC-Protokoll (Encrypting File System Remote Protocol) nutzt, um NTLM-Authentifizierung zu erzwingen. Die Kombination von NTLM-Coercion mit Relay-Angriffen ist besonders verheerend, da das Maschinenkonto des Domänencontrollers umfangreiche Privilegien über die Active-Directory-Umgebung hat.
Häufig gestellte Fragen
Wird CVE-2022-26925 aktiv ausgenutzt?
Ja. CISA hat die aktive Ausnutzung von CVE-2022-26925 bestätigt. Der EPSS-Score von 37,4 % (97,1. Perzentil) zeigt sehr hohe Ausnutzungsaktivität an. Die Schwachstelle steht in Zusammenhang mit der bekannten PetitPotam-Angriffstechnik.
Welche Produkte sind von CVE-2022-26925 betroffen?
CVE-2022-26925 betrifft Microsoft Windows über das Local Security Authority (LSA)-Subsystem und betrifft insbesondere Domänencontroller in Active-Directory-Umgebungen. Alle Windows-Server-Versionen, die als Domänencontroller fungieren, sind potenziell betroffen.
Wie behebe ich CVE-2022-26925?
Spielen Sie die Juni-2022-Microsoft-Sicherheitsupdates ein, befolgen Sie aber die CISA-Implementierungsanleitung sorgfältig bei der Bereitstellung auf Domänencontrollern. Aktivieren Sie zusätzlich EPA, deaktivieren Sie NTLM wo möglich und erzwingen Sie SMB-Signierung.
Wie schwerwiegend ist CVE-2022-26925?
CVE-2022-26925 ist eine kritische Schwachstelle mit einem EPSS-Score von 37,4 % (97,1. Perzentil), die durch NTLM-Relay-Angriffe zur vollständigen Active-Directory-Domänenkompromittierung führen kann. Die Fähigkeit, die Domänencontroller-Authentifizierung zu erzwingen und weiterzuleiten, macht dies zu einer der wirkungsvollsten Windows-Schwachstellen für Unternehmensumgebungen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.