A PhantomRPC sebezhetőség lehetővé teszi a hackerek számára, hogy átvegyék az irányítást a szerverrendszer felett.

A Kaspersky nemrég fedezte fel a PhantomRPC nevű sebezhetőséget a Windows távoli eljáráshívás (RPC) mechanizmusában, amely a rendszer tervezési jellemzőiből ered, és amelyet a hackerek kihasználhatnak szerverek megszemélyesítésére és hozzáférés megszerzésére.

A PhantomRPC egy sebezhetőség a Windows távoli eljáráshívás (RPC) mechanizmusában.

A Kaspersky szakértői szerint ez a sebezhetőség nem egy konkrét hibából, hanem a rendszer működéséből fakad, lehetővé téve a hackerek számára, hogy kihasználják azt a rendszerhez való közvetlen hozzáférés kiterjesztésére. Megszemélyesítéssel járó folyamat esetén a támadó ezt kihasználva rendszerszintű irányítást szerezhet.

Hogyan működik a Microsoft távoli kommunikációs mechanizmusa.

A Kaspersky öt különböző kihasználási forgatókönyvet elemzett, kimutatva, hogy a hackerek a helyi vagy hálózati szolgáltatásokból származó hozzáférést magasabb szintekre is kiterjeszthetik, sőt, akár a rendszer feletti irányítást is átvehetik. Mivel a probléma egy tervezési hibából ered, ez a sebezhetőség szinte számtalan támadási módszert tesz lehetővé. Bármely új folyamat vagy szolgáltatás, amely távoli kommunikációs mechanizmusokat (RPC) használ, új kihasználási ponttá válhat a hozzáférés kiterjesztésére.

Haidar Kabibo, a Kaspersky alkalmazásbiztonsági szakértője kijelentette: „A konkrét kihasználási módszerek a rendszertől függően változhatnak, olyan tényezőktől függően, mint a telepített szoftver, a távoli kommunikációs mechanizmusban részt vevő dinamikus csatolású függvénytárak, és hogy elérhetők-e a megfelelő távoli kommunikációs alkalmazáskiszolgálók. Ez a változatosság a sebezhetőségeket kritikus tényezővé teszi a vállalkozások kockázatértékelésében és reagálási stratégiáiban.”

A Kaspersky azt javasolja, hogy a szervezetek hajtsanak végre intézkedéseket a támadási kockázatok felderítésére és enyhítésére: Vezessenek be ETW-alapú monitorozást, amely lehetővé teszi a biztonsági csapatok számára, hogy azonosítsák a rendszerkörnyezeten belüli távoli kommunikációs mechanizmusok anomáliáit, különösen akkor, ha a csatlakozási kérelmek nem létező vagy nem elérhető szerverekhez érkeznek. Korlátozzák a SeImpersonatePrivilege használatát; ezt a jogosultságot csak azoknak a folyamatoknak szabad megadni, amelyeknek valóban szükségük van rá.

BINH LAM

Forrás: https://www.sggp.org.vn/lo-hong-phantomrpc-cho-phep-tin-tac-chiem-quyen-he-thong-may-chu-post851434.html