Een combinatie van 2 bugs geeft aanvallers de mogelijkheid om met een simpel script een gewoon gebruikersaccount administratorrechten te geven. Microsoft dringt aan op het installeren van de meest recente beveiligingsupdates waarmee de kwetsbaarheden worden gerepareerd.
Microsoft Active directory
De bugs bevinden zich in de Windows Active Directory (AD), een systeem dat IT-beheerders bij organisaties gebruiken om de accounts van medewerkers op schaal te beheren. In de AD staat welke accounts er zijn en welke rechten deze accounts hebben. Dit bepaalt dus bijvoorbeeld of een gebruiker programma’s mag installeren en of ze toegang hebben tot afgeschermde secties van het netwerk.
Een bedrijf heeft vaak meerdere servers die elk een kopie van deze directory hebben, een zogeheten Domain Controller (DC). Deze DC servers communiceren met elkaar en updaten elkaar als er in een DC een wijziging wordt doorgevoerd.
Bugs versterken elkaar
De aanval gebruikt een techniek genaamd account name spoofing in combinatie met een kwetsbaarheid in de Kerberos Privilege Attribute Certificate (PAC). Hierdoor kunnen aanvallers authenticatie beveiliging omzeilen en zich voordoen als Domain Controller. Vervolgens laten ze een ticket (wijziging) uitvoeren met een veel hogere autoriteit dan het account waarvan het ticket wordt verstuurd.
Heel simpel gezegd kan een gewone medewerker een verzoek indienen alsof het van de directie komt. Hierna heeft de aanvaller volledige toegang en kunnen zij malware verspreiden en afgeschermde informatie inzien, met alle bekende gevolgen van dien.
Oplossing beschikbaar
Deze aanvalsmethode is in november gemeld door Andrew Bartlett van Catalyst IT en is door Microsoft gepatcht. Om de AD van jouw organisatie te beschermen is het dus van belang dat je de beveiligingsupdates van november 2021 of later installeert.
