Kerentanan PhantomRPC membolehkan penggodam mengawal sistem pelayan.

Kaspersky baru sahaja menemui PhantomRPC, satu kelemahan dalam mekanisme Panggilan Prosedur Jauh (RPC) pada Windows, yang berpunca daripada ciri reka bentuk sistem dan yang boleh dieksploitasi oleh penggodam untuk menyamar sebagai pelayan dan mendapatkan akses.

PhantomRPC ialah kelemahan dalam mekanisme Panggilan Prosedur Jauh (RPC) Windows.

Pakar Kaspersky mengatakan kelemahan ini bukan berpunca daripada ralat tertentu tetapi daripada cara sistem beroperasi, yang membolehkan penggodam mengeksploitasinya untuk meningkatkan akses terus pada sistem. Dalam kes proses dengan penyamaran, penyerang boleh memanfaatkannya untuk mendapatkan kawalan peringkat sistem.

Cara mekanisme komunikasi jarak jauh Microsoft berfungsi.

Kaspersky menganalisis lima senario eksploitasi yang berbeza, menunjukkan bahawa penggodam boleh meningkatkan akses daripada perkhidmatan tempatan atau berkaitan rangkaian ke tahap yang lebih tinggi, malah dapat mengawal sistem. Oleh kerana masalah ini berpunca daripada kecacatan reka bentuk, kerentanan ini membuka hampir banyak kaedah serangan. Sebarang proses atau perkhidmatan baharu yang menggunakan mekanisme komunikasi jauh (RPC) boleh menjadi titik eksploitasi baharu untuk melanjutkan akses.

Haidar Kabibo, pakar keselamatan aplikasi di Kaspersky, menyatakan: “Kaedah eksploitasi khusus boleh berbeza-beza bergantung pada sistem, bergantung pada faktor seperti perisian yang dipasang, Perpustakaan Pautan Dinamik yang terlibat dalam mekanisme komunikasi jarak jauh, dan sama ada pelayan aplikasi komunikasi jarak jauh yang sepadan tersedia. Variasi ini menjadikan kerentanan sebagai faktor kritikal dalam penilaian risiko dan strategi tindak balas perniagaan.”

Kaspersky mengesyorkan agar organisasi melaksanakan langkah-langkah untuk mengesan dan mengurangkan risiko eksploitasi: Melaksanakan pemantauan berasaskan ETW, yang membolehkan pasukan keselamatan mengenal pasti anomali dalam mekanisme komunikasi jarak jauh dalam persekitaran sistem, terutamanya apabila permintaan sambungan dibuat kepada pelayan yang tidak wujud atau tidak tersedia. Hadkan penggunaan SeImpersonatePrivilege; keistimewaan ini hanya perlu diberikan kepada proses yang benar-benar memerlukannya.

BINH LAM

Sumber: https://www.sggp.org.vn/lo-hong-phantomrpc-cho-phep-tin-tac-chiem-quyen-he-thong-may-chu-post851434.html