La vulnerabilità Zerologon minaccia i controller di dominio

Durante il Patch Tuesday di agosto, Microsoft ha risolto diverse vulnerabilità, tra cui una dal nome CVE-2020-1472. Alla vulnerabilità del protocollo Netlogon è stato assegnato il grado di gravità “critico” (il suo punteggio CVSS era quello massimo, ovvero 10.0). Che potesse rappresentare una minaccia non è mai stato messo in dubbio, tuttavia l’altro giorno Tom Tervoort, il ricercatore di Secura che l’ha scoperta, ha pubblicato un report dettagliato che spiega perché la vulnerabilità, nota come Zerologon, sia così pericolosa e come possa essere sfruttata per hackerare un controller di dominio.

Che cos’è Zerologon?

In sostanza, CVE-2020-1472 è il risultato di una falla nel sistema cifrato di autenticazione Netlogon Remote Protocol. Il protocollo consente l’autenticazione degli utenti e dei dispositivi sulle reti basate su domini e viene utilizzato anche per aggiornare le password dei computer da remoto. Grazie alla vulnerabilità, un cybercriminale può spacciarsi per un computer client e sostituire la password di un controller di dominio (un server che controlla un’intera rete e gestisce i servizi Active Directory), il che gli consente di ottenere le autorizzazioni di amministratore di dominio.

Chi è a rischio?

La vulnerabilità CVE-2020-1472 rappresenta un rischio per le aziende le cui reti sono basate sui controller di dominio su Windows. In particolare, i criminali informatici possono hackerare un controller di dominio basato su qualsiasi versione di Windows Server 2019 o Windows Server 2016, così come qualsiasi edizione di Windows Server versione 1909, Windows Server versione 1903, Windows Server versione 1809 (edizioni Datacenter e Standard), Windows Server 2012 R2, Windows Server 2012, Windows Server 2012, o Windows Server 2008 R2 Service Pack 1. Per portate a termine l’attacco, i cybercriminali dovrebbero innanzitutto penetrare nella rete aziendale, ma questo non è un problema così insormontabile (gli attacchi interni e l’accesso dalle prese Ethernet in locali accessibili al pubblico non sono affatto nuovi).

Fortunatamente la vulnerabilità Zerologon non è ancora stato utilizzata in un attacco reale (o fino ad ora non ci sono state segnalazioni). Tuttavia, il report di Tervoort ha suscitato scalpore, attirando molto probabilmente l’attenzione dei criminali informatici e, sebbene i ricercatori non abbiano pubblicato una proof of concept, non ci sono dubbi che i cybercriminali potrebbero elaborarne una basata sulle patch.

Come difendersi da Zerologon

Agli inizi di agosto, Microsoft ha rilasciato le patch per risolvere la vulnerabilità in tutti i sistemi interessati quindi, se non avete ancora aggiornato i sistemi, vi conviene affrettarvi. Inoltre, Microsoft consiglia di monitorare eventuali tentativi di login effettuati attraverso la versione vulnerabile del protocollo e di identificare i dispositivi che non supportano la nuova versione. Per Microsoft, la situazione ideale sarebbe che il controller di dominio venisse impostato su una modalità dove tutti i dispositivi possano utilizzare la versione sicura di Netlogon.

Gli aggiornamenti non rendono questa restrizione obbligatoria, perché il protocollo remoto Netlogon Remote Protocol non viene utilizzato solo su Windows, ma anche su molti dispositivi basati su altri sistemi operativi. Se si rendesse obbligatorio il suo utilizzo, i dispositivi che non supportano la versione sicura non funzionerebbero correttamente.

In ogni caso, a partire dal 9 febbraio 2021, i controller di dominio saranno tenuti ad utilizzare tale modalità (cioè, costringendo tutti i dispositivi ad utilizzare il Netlogon aggiornato e sicuro), per cui gli amministratori dovranno risolvere in anticipo il problema della conformità dei dispositivi di terze parti (aggiornandoli o aggiungendoli manualmente come esclusioni). Per maggiori informazioni sula patch di agosto e cosa cambierà a febbraio insieme ad altre linee guida dettagliate, vi consigliamo di leggere il post di Microsoft.