Уязвимость PhantomRPC позволяет хакерам получить контроль над серверной системой.

Компания Kaspersky обнаружила уязвимость PhantomRPC в механизме удаленного вызова процедур (RPC) в Windows, обусловленную особенностями проектирования системы и позволяющую хакерам использовать ее для имитации серверов и получения доступа.

PhantomRPC — это уязвимость в механизме удаленного вызова процедур (RPC) операционной системы Windows.

Эксперты «Лаборатории Касперского» утверждают, что эта уязвимость вызвана не конкретной ошибкой, а особенностями работы системы, что позволяет хакерам использовать её для прямого повышения уровня доступа. В случае процесса с имитацией пользователя злоумышленник может использовать это для получения контроля на системном уровне.

Как работает механизм удалённой связи Microsoft.

Компания «Лаборатория Касперского» проанализировала пять различных сценариев эксплуатации уязвимости, показав, что хакеры могут повысить уровень доступа от локальных или сетевых служб до более высоких уровней, даже получив контроль над системой. Поскольку проблема связана с недостатком в проектировании, эта уязвимость открывает практически бесчисленные возможности для атак. Любой новый процесс или служба, использующие механизмы удаленной связи (RPC), могут стать новой точкой эксплуатации для расширения доступа.

Хайдар Кабибо, специалист по безопасности приложений в компании «Лаборатория Касперского», заявил: «Конкретные методы эксплуатации могут различаться в зависимости от системы, таких факторов, как установленное программное обеспечение, динамически подключаемые библиотеки, участвующие в механизме удаленной связи, и наличие соответствующих серверов приложений для удаленной связи. Это разнообразие делает уязвимости критически важным фактором в оценке рисков и стратегиях реагирования предприятий».

Компания «Лаборатория Касперского» рекомендует организациям внедрить меры по обнаружению и снижению рисков эксплуатации уязвимостей: Внедрить мониторинг на основе ETW, позволяющий группам безопасности выявлять аномалии в механизмах удаленной связи внутри системной среды, особенно при запросах на подключение к несуществующим или недоступным серверам. Ограничить использование привилегии SeImpersonatePrivilege; эта привилегия должна предоставляться только тем процессам, которые действительно в ней нуждаются.

БИНЬ ЛАМ

Источник: https://www.sggp.org.vn/lo-hong-phantomrpc-cho-phep-tin-tac-chiem-quyen-he-thong-may-chu-post851434.html