Perspectiva da Akamai sobre a Patch Tuesday de setembro

Vulnerabilidades do IPsec

IPsec é um grupo de conjuntos de protocolos de rede seguros que criptografa e autentica pacotes de dados entre computadores por meio de uma rede IP.  O IPsec é usado principalmente em VPN.

Esta Patch Tuesday apresentou três vulnerabilidades críticas de execução de código remota em dois protocolos principais no IPSec: IKEv1 e IPv6.

As vulnerabilidades estão presentes no fluxo de código responsável pelo processamento e análise de pacotes recebidos. Por isso, e como eles podem ser acionados remotamente por um invasor não autenticado, todos eles são classificados como críticos e pontuados como CVSS de 9,8.

Extensões de protocolo do Windows Internet Key Exchange 

O IKE (Internet Key Exchange) é um dos protocolos comuns usados para negociação de chaves de criptografia. 

Escopo

Os sistemas com IPSec habilitado e que usam o IKEv1 são vulneráveis. Os servidores Windows são vulneráveis, pois permitem o IKEv1 e o IKEv2.

Recomendações gerais

Recomenda-se que as organizações desativem o IPSec se ele não estiver em uso.

CVEs

As vulnerabilidades IKE foram encontradas por Yuki Chen, do Kunlun Lab.  As vulnerabilidades parecem ser causadas por superfluxos ou subfluxos de números inteiros nas funções IkeQueueRecvRequest, IkeDecryptOakNDPackete IkeDecryptOakPacket, que pode resultar em uma gravação OOB (fora de banda). Essas vulnerabilidades não exigem que um invasor envie várias solicitações, o que torna sua exploração mais viável.

IPv6

Vulnerabilidades do Microsoft Dynamics CRM

O Microsoft Dynamics CRM faz parte do Microsoft Dynamics 365. Embora sejam oferecidas geralmente como um serviço baseado em nuvem, as vulnerabilidades críticas abordadas no patch deste mês são para a instalação no local da aplicação. Ambas as vulnerabilidades são consideradas críticas, com uma pontuação CVSS de 8,8 e foram encontradas pela Fabian Schmidt.

Escopo

O Microsoft Dynamics CRM precisa ser implantado antes que possa ser usado ou acessado e não está disponível por padrão. Como a lista de portas dele é geral, uma boa maneira de encontrá-lo é procurar a chave do registro “HKLM/SOFTWARE/Microsoft/MSCRM”. Nos ambientes por nós monitorados, esse produto era tão raro a ponto de não existir.

Recomendações gerais

Embora a aplicação de patches deva ser a prioridade imediata, nos casos em que não possa ser feita imediatamente, acreditamos que deve ser possível reduzir o vetor de ataque usando segmentação. Isso pode ser feito em dois níveis:

• Ringfencing: você pode limitar o escopo de estações de trabalho com acesso aos servidores de CRM, autorizando apenas funcionários relevantes (geralmente, equipes de TI e CS) a entrar no sistema. 

  • Além disso, se os servidores de CRM executarem apenas o CRM e nada mais, você também pode limitar a comunicação de rede à lista de portas necessária para o CRM, de acordo com a documentação da Microsoft.

• Segmentação baseada no usuário: como o ataque requer um usuário autenticado, ele também deve ser um bom vetor de mitigação.

Vulnerabilidades OLE DB e ODBC

OLE DB e ODBC são especificações de API que foram projetadas para abstrair a conexão entre um consumidor de dados e uma fonte de dados. A ODBC é mais antiga e processual, já o OLE DB é mais recente. Ele é implementado usando o COM (Component Object Model) e compatível com bancos de dados não relacionais.

Onze vulnerabilidades de execução de código remota foram encontradas pelo pesquisador Haifei Li, todas marcadas como importantes e pontuadas como CVSS 8,8. É provável que Li tenha se esforçado muito para explorar os mecanismos usados para a conectividade de BD no Windows. Seis das vulnerabilidades estão no provedor OLE DB para SQL Server e as outras cinco estão no driver ODBC.

Vulnerabilidades OLE DB

As seis vulnerabilidades do OLE DB têm exatamente a mesma descrição do fluxo de ataque nas respectivas seções de perguntas frequentes. A descrição tem um erro (sobre o qual informamos ao Centro de resposta de segurança da Microsoft). Ela menciona um servidor controlado por invasor que, em vez de enviar, recebe um pacote mal-intencionado. A seguir, veja o texto corrigido:

Vulnerabilidades ODBC

O cenário de ataque (para todas as cinco vulnerabilidades) envolve enganar um usuário autenticado para abrir um arquivo mal-intencionado no Microsoft Access: uma aplicação DBMS (Database Management System) que faz parte do pacote Microsoft 365. O arquivo mal-intencionado deve ser aberto via ODBC, o que acionará o código vulnerável no driver ODBC e levará à execução de código arbitrário na máquina da vítima com o mesmo nível de permissão do processo do Access.

O arquivo mal-intencionado deve estar no formato MDB, que especifica a estrutura e as entradas de um banco de dados, e (opcionalmente) formulários de entrada de dados, consultas, procedimentos armazenados etc. O formato de arquivo MDB é relativamente antigo e seu sucessor do Access 2007, o arquivo .accdb, oferece recursos e capacidades adicionais.

Escopo

De acordo com vários recursos, 135.000 organizações usam o Microsoft Access como sua solução DBMS. Entre os ambientes que monitoramos, 27% dos data centers têm o Microsoft Access instalado em algumas máquinas de rede.

Vulnerabilidades do Microsoft SharePoint

O Microsoft SharePoint é um sistema de armazenamento e gerenciamento de documentos baseado na Web, que se integra a outros produtos do Microsoft Office. Há quatro vulnerabilidades de execução remota de código neste mês, três com uma pontuação CVSS de 8,8 e uma com pontuação de 8,1.

Escopo

O SharePoint requer uma instalação dedicada e não está disponível por padrão. Ele pode ser instalado em um único servidor ou em um cluster. Em nossos ambientes monitorados, constatamos que 21% das redes tinham pelo menos um servidor SharePoint.

Recomendações gerais

Os servidores SharePoint geralmente servem para o compartilhamento de documentos, o que pode dificultar a segmentação ou restrição do acesso do usuário a eles sem prejudicar as operações normais. No entanto, como as quatro vulnerabilidades exigem privilégios específicos para que a exploração funcione, deve ser possível reduzir a superfície de ataque por meio dessas permissões. A redução e o gerenciamento das permissões do usuário podem ser um processo longo e árduo, portanto, o curso de ação recomendado é corrigir seus servidores.

Provavelmente não será possível descartar todas as permissões para gerenciar a criação de lista e página, talvez a lista de usuários privilegiados possa ser ocultada ou limitada entre bibliotecas ou listas. Além disso, é possível que você possa aumentar o monitoramento desses usuários privilegiados e gerar alertas de segurança sobre anormalidades menores que envolvam as respectivas atividades de logon ou criar regras personalizadas que exijam um alerta de logon e também o acesso ao SharePoint.

CVE

Vulnerabilidades do Kerberos do Windows

Kerberos é o backbone da arquitetura de domínio do Windows. É o mecanismo de autenticação padrão, substituto do NTLM (New Technology LAN Manager). Há duas vulnerabilidades desta vez, ambas descobertas por James Forshaw. Ambas as vulnerabilidades envolvem o downgrade de criptografia e têm uma pontuação CVSS de 8,1. Ao modificar a conexão entre a vítima e o controlador de domínio para usar a criptografia RC4-md4 mais fraca, um invasor pode violar a chave da sessão Kerberos da vítima para elevação de privilégios.

Escopo

O Kerberos faz parte de todas as arquiteturas de domínio do Windows.

Recomendações gerais

A recomendação da Microsoft é que o recurso de proteção Kerberos seja capaz de proteger contra as duas vulnerabilidades. Você pode consultar isso na página para obter mais informações. O pesquisador de vulnerabilidades, James Forshaw, mencionou que apenas a ativação da proteção Kerberos não é suficiente e que o KDC deve impor esse requisito e não apenas ser compatível com ele.

Além disso, um dos requisitos para que as vulnerabilidades funcionem é que ocorra um ataque de representação (mas Forshaw afirma que não é necessariamente o caso com CVE-2022-33679), de modo que o invasor fique entre a vítima e o controlador de domínio. Os ataques de representação são um vetor de ataque comum e podem ser “ruidosos”. Portanto, o uso de soluções IDS ou IPS, ou a busca ativa de ameaças, pode ajudar a aliviar um pouco do risco.