Detalhes emergiram sobre uma falha de segurança agora corrigida no Open Policy Agent (OPA) da Styra que, se explorada com sucesso, poderia ter levado ao vazamento de hashes do New Technology LAN Manager (NTLM).
"A vulnerabilidade poderia ter permitido a um atacante vazar as credenciais NTLM da conta de usuário local do servidor OPA para um servidor remoto, potencialmente permitindo ao atacante redirecionar a autenticação ou quebrar a senha", disse a firma de cibersegurança Tenable em um relatório compartilhado.
A falha de segurança, descrita como uma vulnerabilidade de autenticação forçada do Server Message Block (SMB) e rastreada como
CVE-2024-8260
(pontuação CVSS: 6.1/7.3), afeta tanto a interface de linha de comando (CLI) quanto o kit de desenvolvimento de software (SDK) Go para Windows.
No cerne da questão, o problema vem de uma validação de entrada inadequada que pode levar a acesso não autorizado vazando o hash Net-NTLMv2 do usuário que está logado atualmente no dispositivo Windows executando a aplicação OPA.
No entanto, para que isso funcione, a vítima deve estar em posição de iniciar tráfego SMB de saída pela porta 445.
Alguns dos outros pré-requisitos que contribuem para a gravidade média estão listados abaixo:
-Um ponto de apoio inicial no ambiente, ou engenharia social de um usuário, que abre caminho para a execução do CLI OPA
-Passando um caminho da Convenção de Nomeação Universal (UNC) em vez de um arquivo de regra -Rego como argumento para o CLI OPA ou as funções da biblioteca Go do OPA
A credencial capturada desta maneira poderia então ser armada para montar um ataque de redirecionamento a fim de contornar a autenticação, ou realizar quebra offline para extrair a senha.
"Quando um usuário ou aplicativo tenta acessar um compartilhamento remoto no Windows, isso força a máquina local a autenticar-se ao servidor remoto via NTLM", disse a pesquisadora de segurança da Tenable, Shelly Raban.
Durante este processo, o hash NTLM do usuário local é enviado ao servidor remoto.
Um atacante pode aproveitar esse mecanismo para capturar as credenciais, permitindo-lhes redirecionar a autenticação ou quebrar os hashes offline. Após a divulgação responsável em 19 de junho de 2024, a vulnerabilidade foi abordada na versão 0.68.0 lançada em 29 de agosto de 2024.
"À medida que projetos de código aberto se tornam integrados em soluções de ampla difusão, é crucial garantir que eles sejam seguros e não exponham fornecedores e seus clientes a uma superfície de ataque ampliada", observou a empresa.
Além disso, as organizações devem minimizar a exposição pública de serviços a menos que seja absolutamente necessário para proteger seus sistemas. A divulgação acontece enquanto a Akamai destacou uma falha de escalada de privilégios no Microsoft Remote Registry Service (
CVE-2024-43532
, pontuação CVSS: 8.8) que poderia permitir a um atacante obter privilégios de SYSTEM por meio de um redirecionamento NTLM.
Foi corrigida pelo gigante da tecnologia no início deste mês depois de ser relatada em 1º de fevereiro de 2024.
"A vulnerabilidade abusa de um mecanismo de fallback na implementação do cliente WinReg [RPC] que usa protocolos de transporte obsoletos de forma insegura se o transporte SMB não estiver disponível", disse o pesquisador da Akamai, Stiv Kupchik.
Explorando essa vulnerabilidade, um atacante pode redirecionar os detalhes de autenticação NTLM do cliente para os Active Directory Certificate Services (ADCS) e solicitar um certificado de usuário para alavancar para autenticação adicional no domínio.
A susceptibilidade do NTLM a ataques de redirecionamento não passou despercebida pela Microsoft, que, no início deste maio, reiterou seus planos de aposentar o NTLM no Windows 11 em favor do Kerberos como parte de seus esforços para fortalecer a autenticação do usuário.
"Embora a maioria dos servidores e clientes RPC sejam seguros hoje em dia, é possível, de tempos em tempos, descobrir relíquias de implementação insegura em vários graus", disse Kupchik.
"Neste caso, conseguimos realizar um redirecionamento NTLM, que é uma classe de ataques que melhor pertence ao passado, finaliza Kupchik"
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...