В протоколе CredSSP обнаружена критическая уязвимость

Исследователи безопасности из компании Preempt Security обнаружили критическую уязвимость в протоколе Credential Security Support Provider protocol (CredSSP), затрагивающую все версии Windows и позволящющую удаленному злоумышленнику использовать RDP и WinRM для хищения данных и запуска вредоносного кода.

Протокол CredSSP был разработан для использования RDP (Remote Desktop Protocol) и Windows Remote Management (WinRM), который обеспечивает безопасную пересылку учетных данных, зашифрованных клиентом Windows, на целевые серверы для удаленной аутентификации.

Проблема (CVE-2018-0886) является логической криптографической уязвимостью в CredSSP, которая может быть проэксплуатирована злоумышленником с подключением по Wi-Fi или физическим доступом к сети для хищения данных или атаки на службу удаленного вызова процедур.

Когда клиент и сервер аутентифицируются по протоколам соединения RDP и WinRM, злоумышленник может выполнять удаленные команды для компрометации корпоративных сетей.

«Злоумышленник, перехвативший сеанс пользователя с достаточными привилегиями, может выполнять разные команды с привилегиями локального администратора. Это особенно важно в случае контроллеров домена, где большинство удаленных вызовов процедур (DCE/RPC) включены по умолчанию», - пояснили исследователи.

«Данная проблема может сделать предприятия уязвимыми к различным угрозам, включая заражение критических серверов или контроллеров домена», - добавили они.

Поскольку RDP является самым популярным приложением для удаленного входа в систему, и почти все корпоративные клиенты используют RDP, он делает большинство сетей уязвимыми для этой проблемы безопасности.

Исследователи уведомили Microsoft о проблеме в августе 2017 года, однако компания выпустила исправление только 13 марта текущего года в рамках вторника исправлений.

Видео с демонстрацией атаки: