CVE-2022-26809: SMB 445 Lücke

Mit Microsoft Updates zum Patchday am 12. April enthalten ein Update, welches nicht nur Microsoft mit einem CVE 9.8 einstuft. Es betrifft eine Lücke in allen aktuellen Windows Betriebssystemen und sollte umgehen geschlossen werden. Mit dem Update haben nun auch die Angreifer den Code und werden sicher alles daran setzen, einen Exploit-Code zu entwickeln.

Es gibt mit https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-24521 noch eine Lücke, die bereits ausgenutzt wird und Benutzer auf einem PC sich höhere Rechte verschaffen können. Ein Grund mehr für schnelle Updates.

Vektor: Port 445 SMB

Aus der Microsoft Veröffentlichung zum CVE-2022-26809 ist einfach zu erkennen, dass es wohl wieder eine "Basis-Funktion" von Windows betrifft.


Quelle: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26809

Ich gehe mal davon aus, dass die wenigsten Windows Server oder Clients "aus dem Internet" über den Port 445 erreichbar sind. Aber die Realität sieht oft anders aus, gerade wenn Dateiserver z.B. in Azure oder einer anderen Cloud stehen.

Das macht das Risiko aber nicht geringer, denn im Firmennetzwerk selbst kenne ich nur ganz wenige Firmen, die interne Firewalls nutzen, um zwischen Clients und Servern verschiedene Dienste zu reglementieren. Aber auch das hilft nicht wirklich, den in einem Windows Netzwerk müssen die Clients sich zumindest am Domain Controller anmelden und per SMB Port 445 eine Verbindung zu NETLOGON und SYSLOG aufbauen. Ansonsten kommen Sie ja z. B. nicht an Anmeldeskripte und Gruppenrichtlinien. Auch Dateiserver sind im Grunde von jedem Client per SMB erreichbar.

Es reicht also, wenn ein Angreifer irgendwie Code auf einem System in ihrem Netzwerk ausführen kann. Da kann ein Anwender eine Anlage an einer Phishing-Mail ausführen oder seine Credentials verraten, so dass ein Angreifer per RDP oder VPN eine Verbindung zum Netzwerk aufbauen kann.

Ich habe noch keine Hinweise, ob diese fehlerhafte Implementierung es auch in andere SMB-Derivate (QNap, Synology, Samba etc.) geschafft haben. Microsoft hat SMB erst vor einiger Zeit "offener" dokumentiert und zwar lange Zeit "Closed Source", so dass ein Abschreiben vom Code weniger wahrscheinlich ist.

Der "Melder" der Lücke war laut Microsoft jemand mit dem Twitter Alias @cyberkunlun (https://twitter.com/cyberkunlun), über den es dort aber nichts zu lesen gibt.

Gegenmaßnahmen

Solange kein Update zur Verfügung gestanden hat, war die Vorgabe den Zugriff auf Port 445 zu beschränken.

Das kann eine Firewall tun oder sie sichern die interne Verbindung zwischen den Systemen z.B. per IPSec o.ä. Das hilft aber nicht, wenn sie die Funktionen benötigen, die über Port 445 bereitgestellt werden, z.B. Domain Controller. Auch wirkt die Beschränkung auf Firmencomputer nicht, wenn der Angreifer ihren Terminal-Server oder einen gekaperten Client eines Mitarbeiters nutzt.

Es könnte temporär interessant sein, z.B. den Zugriff auf Server wie Exchange über Port 445 zu unterbinden die von Anwendern ehr nur per HTTP (OWA, EAS, MAPI) oder POP/IMAP (110/143/995/993) angesprochen werden. Auch SQL-Server könnte man von den "gefährlichen Clients" über 445 unerreichbar machen und nur 1434 o.ä. zuzulassen. Allerdings hilft das nur bedingt, denn es gibt sicher genug andere Server, die angreifbar sind und dann als Sprung-Server zu weiteren Servern dienen können.

Mittlerweile gibt es für alle noch von Microsoft aktiv unterstützten Betriebssysteme die entsprechenden Updates, die auch über Windows Update verteilt werden.

Sie sollten umgehend daran gehen, die Updates einzuspielen.

Reihenfolge

Für jede Windows Version und Build-Nummer gibt es eventuell ein eigenes Update-Paket. Die manuelle Ermittlung und Zuordnung macht nur fr große Firmen sinn. Alle anderen sollten entweder direkt über Windows Update die Fehlerkorrekturen direkt von Microsoft laden oder diese per WSUS intern freigeben und verteilen. Eventuell haben Sie Unterstützung durch Programme wie Batchpatch u.a.

Im Prinzip sollten alle Windows Systeme, d.h. Server und Clients umgehend aktualisiert werden. Wenn Sie aber eine Reihenfolge suchen, dann würde ich wie folgt vorgehen:

  • Domain Controller
    Diese Server sind besonders kritisch und eigentlich von allen Systemen per SMB über Port 445 erreichbar. Wenn sie mehrere Server haben, dann ist es meist unkritisch, nacheinander die Updates mit direkten Neustart zu installieren. Das kann auch im laufenden Betrieb funktionieren, wenn ihre Anwendungen alle DCs nutzen und nicht auf einen DC festgelegt sind.
  • Admin PCs, ADSync, ADFS, Provisioning-Systeme, JobServer
    Dann interessieren mich die Systeme, auf denen direkt mit privilegierten Accounts gearbeitet wird, die für einen Angreifer besonders interessant sind. Das sind die Tier-1 AdminWorkstations aber auch ADFS-Server, die Tickets ausstellen oder ADSync-Server, deren Dienstkonten z.B. die Rechte zum "Password Writeback" haben oder Zugangsdaten in die Cloud replizieren.
  • Exchange Server
    Ich führe die Exchange Server gesondert auf, da Sie durch RBAC - Role Based Access Control als "Computerkonto" deutlich mehr Berechtigungen haben. Durch RBAC müssen die täglich genutzten Admin-Konten deutlich weniger Berechtigungen habe aber dafür können die Exchange Server viele Dinge im lokalen AD ändern, z.B. Benutzer anlegen und Gruppenmitgliedschaften ändern.
  • Member Server
    Dann kommen die anderen Server, die auch 24h für potentielle Angreifer erreichbar sind. Hier könnten die Daten oder das "Störpotential" für einen Angreifer lohnenswert sein. Solche Server eignen sich als Sprungserver für weitere Aktionen oder eine Malware wartet einfach darauf, dass sich ein Administrator lokal anmelden, um dann dessen Token oder eingegeben Daten abzugreifen.
  • Workstations
    Ich denke gerade an all die Home-Office"-PCs, die Domainmitglied und VPN-Client sind. Ohne VPN sind diese im "Heimnetzwerk" und natürlich kann dann ohne VPN und Firewall ein anderer "unverwalteter" PC über diese Lücke, (Windows for Workgroups lässt grüßen) den Firmen-PC als Sprungserver nutzen. Auch in der Firma ist aber jeder PC mit Netzwerkverbindung ein potentielles Risiko, selbst wenn er nicht Mitglied der Domain ist. Es reicht eine TCP-Verbindung zu einem nicht gesicherten System über Port 445/TCP

Machen wir es kurz: Verantwortungsbewusste Administratoren sollten Karfreitag dazu nutzen, ihre Systeme möglichst schnell zu aktualisieren

Und vielleicht darauf zu hoffen, dass die bösen Jungs noch keinen funktionierenden Code durch Reverse-Engineering entwickelt haben. Am 14.4.2022 17:00 lautete es noch:


https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26809

Das kann sich aber jederzeit ändern. Nur weil ihr Windows System nicht per 445/TCP aus dem Internet erreichbar ist, gibt es genug Wege von intern einen Angriff zu erleben. Die Lücke ist bei einem gut konfigurieren Netzwerk zwar nicht aus dem Internet erreichbar und kommt damit nicht an den Hafnium Exploit oder die Log4Shell-Lücke heran, aber ist gefährlich nahe.

Weitere Links