La vulnerabilità PhantomRPC consente agli hacker di assumere il controllo del sistema server.

Kaspersky ha appena scoperto PhantomRPC, una vulnerabilità nel meccanismo di chiamata di procedura remota (RPC) di Windows, derivante dalle caratteristiche di progettazione del sistema, che può essere sfruttata dagli hacker per impersonare i server e ottenere l'accesso.

PhantomRPC è una vulnerabilità nel meccanismo di chiamata di procedura remota (RPC) di Windows.

Secondo gli esperti di Kaspersky, questa vulnerabilità non deriva da un errore specifico, ma dal modo in cui il sistema opera, consentendo agli hacker di sfruttarla per ottenere privilegi di accesso diretti al sistema. Nel caso di un processo con impersonificazione, un aggressore potrebbe sfruttare questa vulnerabilità per ottenere il controllo a livello di sistema.

Come funziona il meccanismo di comunicazione remota di Microsoft.

Kaspersky ha analizzato cinque diversi scenari di sfruttamento, dimostrando che gli hacker potrebbero elevare i propri privilegi di accesso da servizi locali o di rete a livelli superiori, arrivando persino a ottenere il controllo del sistema. Poiché il problema deriva da un difetto di progettazione, questa vulnerabilità apre la strada a un numero pressoché infinito di metodi di attacco. Qualsiasi nuovo processo o servizio che utilizzi meccanismi di comunicazione remota (RPC) potrebbe diventare un nuovo punto di sfruttamento per estendere l'accesso.

Haidar Kabibo, specialista in sicurezza delle applicazioni presso Kaspersky, ha dichiarato: "I metodi di sfruttamento specifici possono variare a seconda del sistema, di fattori quali il software installato, le librerie di collegamento dinamico (DL) coinvolte nel meccanismo di comunicazione remota e la disponibilità dei relativi server applicativi per la comunicazione remota. Questa variabilità rende le vulnerabilità un fattore critico nella valutazione del rischio e nelle strategie di risposta delle aziende."

Kaspersky raccomanda alle organizzazioni di implementare misure per rilevare e mitigare i rischi di sfruttamento: implementare il monitoraggio basato su ETW, che consente ai team di sicurezza di identificare anomalie nei meccanismi di comunicazione remota all'interno dell'ambiente di sistema, soprattutto quando vengono effettuate richieste di connessione a server inesistenti o non disponibili. Limitare l'uso di SeImpersonatePrivilege; questo privilegio dovrebbe essere concesso solo ai processi che ne hanno effettivamente bisogno.

LAM BINH

Fonte: https://www.sggp.org.vn/lo-hong-phantomrpc-cho-phep-tin-tac-chiem-quyen-he-thong-may-chu-post851434.html