De PhantomRPC-kwetsbaarheid stelt hackers in staat om de controle over het serversysteem over te nemen.

Kaspersky heeft PhantomRPC ontdekt, een kwetsbaarheid in het Remote Procedure Call (RPC)-mechanisme van Windows. Deze kwetsbaarheid vloeit voort uit de ontwerpeigenschappen van het systeem en kan door hackers worden misbruikt om zich voor te doen als servers en toegang te verkrijgen.

PhantomRPC is een kwetsbaarheid in het Remote Procedure Call (RPC)-mechanisme van Windows.

Volgens experts van Kaspersky is deze kwetsbaarheid niet het gevolg van een specifieke fout, maar van de manier waarop het systeem werkt. Hierdoor kunnen hackers de kwetsbaarheid misbruiken om direct toegang tot het systeem te verkrijgen. In het geval van een proces met impersonatie zou een aanvaller dit kunnen gebruiken om systeembeheer te realiseren.

Hoe het mechanisme voor communicatie op afstand van Microsoft werkt.

Kaspersky analyseerde vijf verschillende exploitatiescenario's en toonde aan dat hackers de toegang van lokale of netwerkgerelateerde services naar hogere niveaus konden escaleren en zelfs de controle over het systeem konden overnemen. Omdat het probleem voortkomt uit een ontwerpfout, opent deze kwetsbaarheid de deur naar vrijwel oneindig veel aanvalsmethoden. Elk nieuw proces of elke nieuwe service die gebruikmaakt van mechanismen voor communicatie op afstand (RPC) kan een nieuw exploitatiepunt worden om de toegang uit te breiden.

Haidar Kabibo, specialist in applicatiebeveiliging bij Kaspersky, verklaarde: "De specifieke exploitatiemethoden kunnen variëren afhankelijk van het systeem en factoren zoals de geïnstalleerde software, de Dynamic Link Libraries die betrokken zijn bij het communicatiemechanisme op afstand en de beschikbaarheid van de bijbehorende applicatieservers voor communicatie op afstand. Deze variatie maakt kwetsbaarheden een cruciale factor in de risicobeoordeling en responsstrategieën van bedrijven."

Kaspersky adviseert organisaties om maatregelen te nemen om exploitatierisico's te detecteren en te beperken: Implementeer ETW-gebaseerde monitoring, waarmee beveiligingsteams afwijkingen in externe communicatiemechanismen binnen de systeemomgeving kunnen identificeren, met name wanneer verbindingsverzoeken worden gedaan naar niet-bestaande of niet-beschikbare servers. Beperk het gebruik van SeImpersonatePrivilege; dit privilege mag alleen worden toegekend aan processen die het echt nodig hebben.

BINH LAM

Bron: https://www.sggp.org.vn/lo-hong-phantomrpc-cho-phep-tin-tac-chiem-quyen-he-thong-may-chu-post851434.html