Breaking News

เผยช่องโหว่ Zero-day บน Microsoft Exchange เข้าสิทธิ์ Domain Admin ได้ ยังไม่มี Patch

Dirk-jan Mollema นักวิจัยด้าน Security จาก Fox-IT ได้ออกมาเผยโค้ดสำหรับทำ Proof-of-Concept และตัวอย่างการโจมตีช่องโหว่ Zero-day บน Microsoft Exchange ที่ทำให้ผู้โจมตีเข้าถึงสิทธิ์ระดับ Domain Admin ได้

Credit: ShutterStock.com

ปัญหานี้เกิดขึ้นจากการที่ Exchange Permissions Group นั้นมีสิทธิ์ WriteDacl สำหรับ Domain Object ใน Active Directory ทำให้สมาชิกใน Group สามารถแก้ไขสิทธิ์ใน Domain ได้ ซึ่งก็รวมถึงยังสามารถทำ DCSync ได้ด้วย ทำให้ผู้โจมตีซึ่งมี User และ Mailbox ในระบบสามารถทำการ Synchronize รหัสผ่านที่ทำการ Hash มาแล้ว และนำรหัสผ่านเหล่านั้นไปใช้ปลอมตัวด้วยการยืนยันตัวตนผ่านทาง NTLM หรือ Kerberos ภายใน Domain ส่วนการโจมตี Exchange ก็สามารถใช้การทำ Reflection Attack ไปยัง Exchange PushSubscription API ได้

สำหรับวิธีการป้องกันประเด็นปัญหาเหล่านี้ก็มี Workaround ที่หลากหลาย ทั้งการลดสิทธิ์ของ Exchange ในการจัดการกับ Domain Object, การเปิด LDAP Signing และ Channel Binding, การปิดไม่ให้ Exchange Server เชื่อมต่อผ่านทาง Port ที่ไม่จำเป็น, เปิดใช้ Extended Protection for Authentication สำหรับ Exchange, ปิด Registry ที่ใช้อนุญาตในการทำ Relay, บังคับใช้ SMB Signing เป็นต้น

ทาง The Register ได้สอบถามถึงประเด็นนี้ไปยัง Microsoft ซึ่งทาง Microsoft ก็ได้ตอบรับถึงการให้ความสำคัญด้าน Security ในผลิตภัณฑ์ของตนเอง แต่ยังไม่ได้ระบุชี้ชัดว่าจะออก Patch เมื่อใด

ที่มา: https://www.theregister.co.uk/2019/01/25/microsoft_exchange_hashed_passwords/



About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

แนะนำ Eaton 9E UPS: อุปกรณ์สำรองไฟอเนกประสงค์สำหรับธุรกิจขนาด 1000-3000VA

เมื่อการใช้เทคโนโลยีเข้ามามีบทบาทในการทำงานมาก และการทำงานเฉพาะทางหลายประเภทก็ต้องอาศัยอุปกรณ์หรือเครื่องมือที่ต้องใช้ไฟฟ้าในการทำงาน UPS หรืออุปกรณ์สำรองไฟฟ้าก็กลายเป็นสิ่งที่จำเป็นต่อธุรกิจให้ดำเนินต่อไปได้อย่างไม่สะดุด และ Eaton เองก็มีอุปกรณ์ UPS รุ่นเล็กอเนกประสงค์สำหรับใช้งานในภาคธุรกิจโดยเฉพาะ อย่าง Eaton 9E UPS ซึ่งบทความนี้เราจะมาแนะนำให้ทุกท่านรู้จักกันครับ

SAS Webinar: ส่องอนาคตปี 2030: 5 เทคโนโลยีสำคัญที่ช่วยขับเคลื่อนการพัฒนา Customer Experience

SAS ขอเชิญเหล่าผู้บริหารและผู้ปฏิบัติงานด้าน IT และ Data Science เข้าฟังบรรยาย SAS Webinar เรื่อง “ส่องอนาคตปี 2030: 5 เทคโนโลยีสำคัญที่ช่วยขับเคลื่อนการพัฒนา Customer Experience” พร้อมอัปเดตแนวโน้มของผู้บริโภคและผู้ประกอบการล่าสุดในอีก 10 ปีข้างหน้า เพื่อให้องค์กรสามารถเตรียมการด้าน Analytics ได้อย่างมีประสิทธิภาพ ในวันอังคารที่ 11 สิงหาคม 2020 เวลา 14:00 น. ผ่าน Live Webinar ฟรี