LDAPNightmare PoC Exploit làm sập LSASS và khởi động lại Windows Domain Controllers
Một bản khai thác bằng chứng khái niệm (PoC) đã được công bố cho một lỗ hổng bảo mật hiện đã được vá, ảnh hưởng đến Giao thức truy cập thư mục nhẹ của Windows (LDAP) có thể kích hoạt tình trạng từ chối dịch vụ (DoS).
Lỗ hổng đọc ngoài giới hạn được theo dõi là CVE-2024-49113 (điểm CVSS: 7,5). Microsoft đã giải quyết lỗ hổng này như một phần của bản cập nhật Patch Tuesday cho tháng 12 năm 2024, cùng với CVE-2024-49112 (điểm CVSS: 9,8), một lỗ hổng tràn số nguyên nghiêm trọng trong cùng một thành phần có thể dẫn đến thực thi mã từ xa.
Người phát hiện và báo cáo cả hai lỗ hổng bảo mật này là nhà nghiên cứu bảo mật độc lập Yuki Chen ( @guhe120 ).
PoC CVE-2024-49113 do SafeBreach Labs phát minh , có tên mã là LDAPNightmare , được thiết kế để làm sập bất kỳ máy chủ Windows nào chưa vá "mà không cần điều kiện tiên quyết nào ngoại trừ máy chủ DNS của DC nạn nhân phải có kết nối Internet".
Cụ thể hơn, nó đòi hỏi phải gửi yêu cầu DCE/RPC đến máy chủ nạn nhân, cuối cùng khiến Dịch vụ hệ thống cơ quan bảo mật cục bộ (LSASS) bị sập và buộc phải khởi động lại khi nhận được gói phản hồi giới thiệu CLDAP được thiết kế đặc biệt.
Tệ hơn nữa, công ty an ninh mạng có trụ sở tại California phát hiện ra rằng chuỗi khai thác tương tự cũng có thể được sử dụng để thực thi mã từ xa (CVE-2024-49112) bằng cách sửa đổi gói CLDAP.
Khuyến cáo của Microsoft về CVE-2024-49113 không tập trung vào các chi tiết kỹ thuật, nhưng nhà sản xuất Windows đã tiết lộ rằng CVE-2024-49112 có thể bị khai thác bằng cách gửi yêu cầu RPC từ các mạng không đáng tin cậy để thực thi mã tùy ý trong bối cảnh của dịch vụ LDAP.
Microsoft cho biết : "Trong bối cảnh khai thác bộ điều khiển miền cho máy chủ LDAP, để thành công, kẻ tấn công phải gửi các lệnh gọi RPC được thiết kế đặc biệt đến mục tiêu để kích hoạt việc tra cứu miền của kẻ tấn công nhằm mục đích thành công" .
"Trong bối cảnh khai thác ứng dụng máy khách LDAP, để thành công, kẻ tấn công phải thuyết phục hoặc lừa nạn nhân thực hiện tra cứu bộ điều khiển miền cho miền của kẻ tấn công hoặc kết nối với máy chủ LDAP độc hại. Tuy nhiên, các cuộc gọi RPC chưa xác thực sẽ không thành công."
Ngoài ra, công ty lưu ý rằng kẻ tấn công có thể sử dụng kết nối RPC tới bộ điều khiển miền để kích hoạt các hoạt động tra cứu bộ điều khiển miền đối với miền của kẻ tấn công.
Để giảm thiểu rủi ro do các lỗ hổng này gây ra, điều cần thiết là các tổ chức phải áp dụng các bản vá tháng 12 năm 2024 do Microsoft phát hành. Trong những trường hợp không thể vá ngay lập tức, nên "triển khai các phát hiện để theo dõi các phản hồi giới thiệu CLDAP đáng ngờ (với giá trị độc hại cụ thể được đặt), các cuộc gọi DsrGetDcNameEx2 đáng ngờ và các truy vấn DNS SRV đáng ngờ".