آسیب پذیری در سیستم عامل های ویندوز – (CVE-2018-0886)

دسته : آسیب پذیری آموزش ایمن سازی

نویسنده :

در اسفند سال ۱۳۹۶ مایکروسافت وصله امنیتی را به منظور رفع آسیب پذیری CVE-2018-0886 منتشر کرد این آسیب پذیری شامل یک نقص منطقی در پروتکل ارائه کننده خدمات اعتبار سنجی  CredSSP است که مربوط به  پروتکل اتصال به دسک تاپ  (Remote Desktop) و مدیریت از راه دور ویندوز    WinRMl می باشد که در هنگام  اعتبار سنجی  رمز نگاری  RSA به صورت خاصی  شکسته شده و این آسیب پذیری به   به وجود می آید. این آسیب پذیری خطرناک از نوع اجرای دستورات از راه دور می باشد که تمامی ورژن های ویندوز شامل آن می شوند. اسناریو حمله از نوع Relay attack بوده که نوعی از حملات Man In the Middle می باشد.

با توجه به اینکه در شرکت ها و سازمان ها استفاده از پروتکل Remote Desktp بسیار رایج است این آسیب پذیری به شدت خطرناک بوده و باید در اسرع وقت به روز رسانی انجام شود

نحوه سو استفاده از این آسیب پذیری :

کد مخرب برای سواستفاده از این آسیب پذیری به صورت عمومی منتشر شده است . مهاجم برای اجرای این حمله باید ارتباط کاربر با سرور را شنود کند حمله ای از نوع Man in The Middle را پیاده سازی کند . در این حالت مهاجم  هنگام نشست CredSSP اطلاعات اتصال را دزدیده و می تواند دستوراتی را با استفاده از سرویس   Remote Procedure Calls (DCE/RPC)  در سرور قربانی اجرا کند . این سرویس به صورت پیش فرض در سیستم ها فعال می باشد.

در صورتی که حمله به درستی انجام شود به کاربر پیام قطع اتصال داده می شود

سناریوهای حمله :

۱- مهاجم از طریق wifi یا دسترسی فیزیکی به شبکه متصل باشد می تواند  به راحتی حملات Man in the middle را پیاده سازی کند و به پروتکل RDP حمله کند و سرورها و سیستم های داخل شبکه را آلوده کند

۲ – حملات ARP یکی از حملات قدیمی برای حمله در شبکه بوده است و مهاجم اگر بتواند با سو استفاده از این حمله دسترسی از شبکه قربانی بگیرد می تواند به سیستم هایی که این آسیب پذیری را دارند آلوده کند

۳- مهاجم می تواند با حمله به روتر های مرزی و دسترسی به آنها این حملات را پیاده سازی کرده و مجموعه ی پشت روتر را آلوده کند

سیستم عامل هایی که آسیب پذیر هستند :

  • Microsoft Windows 10 Version 1607 for 32-bit Systems
  • Microsoft Windows 10 Version 1607 for x64-based Systems
  • Microsoft Windows 10 for 32-bit Systems
  • Microsoft Windows 10 for x64-based Systems
  • Microsoft Windows 10 version 1511 for 32-bit Systems
  • Microsoft Windows 10 version 1511 for x64-based Systems
  • Microsoft Windows 10 version 1703 for 32-bit Systems
  • Microsoft Windows 10 version 1703 for x64-based Systems
  • Microsoft Windows 10 version 1709 for 32-bit Systems
  • Microsoft Windows 10 version 1709 for x64-based Systems
  • Microsoft Windows 7 for 32-bit Systems SP1
  • Microsoft Windows 7 for x64-based Systems SP1
  • Microsoft Windows 8.1 for 32-bit Systems
  • Microsoft Windows 8.1 for x64-based Systems
  • Microsoft Windows RT 8.1
  • Microsoft Windows Server 2008 R2 for Itanium-based Systems SP1
  • Microsoft Windows Server 2008 R2 for x64-based Systems SP1
  • Microsoft Windows Server 2008 for 32-bit Systems SP2
  • Microsoft Windows Server 2008 for Itanium-based Systems SP2
  • Microsoft Windows Server 2008 for x64-based Systems SP2
  • Microsoft Windows Server 2012
  • Microsoft Windows Server 2012 R2
  • Microsoft Windows Server 2016

دریافت وصله امنیتی :

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2018-0886

 

نمونه شبیه سازی شده حمله  :

 

:منابع

https://blog.preempt.com/security-advisory-credssp

https://blog.preempt.com/how-we-exploited-the-authentication-in-ms-rdp

https://nvd.nist.gov/vuln/detail/CVE-2018-0886

 POC: https://github.com/preempt/credssp

https://github.com/rxwx/CVE-2018-0802