SafeBreach 發(fā)布了概念驗(yàn)證 (PoC) 漏洞代碼，針對(duì) Windows 輕量級(jí)目錄訪問(wèn)協(xié)議 (LDAP) 中最近解決的拒絕服務(wù) (DoS) 漏洞。

該問(wèn)題被編號(hào)為 CVE-2024-49113（CVSS 評(píng)分為 7.5），已于 12 月 10 日得到修補(bǔ)，同時(shí)修補(bǔ)的還有 LDAP 中的一個(gè)嚴(yán)重遠(yuǎn)程代碼執(zhí)行 (RCE) 漏洞（CVE-2024-49112，CVSS 評(píng)分為 9.8）。

這兩個(gè)缺陷都還未被標(biāo)記為已被利用，但微軟警告稱，RCE 漏洞可能允許未經(jīng)身份驗(yàn)證的攻擊者使用精心設(shè)計(jì)的 LDAP 調(diào)用執(zhí)行任意代碼，并敦促管理員斷開(kāi)域控制器與互聯(lián)網(wǎng)的連接以減輕暴露。

然而，SafeBreach 建議對(duì) DoS 漏洞給予同等程度的關(guān)注，因?yàn)槿绻繕?biāo)域控制器的 DNS 服務(wù)器連接到互聯(lián)網(wǎng)，該漏洞可能會(huì)被利用來(lái)導(dǎo)致未修補(bǔ)的 Windows Server 部署崩潰。

這家提供漏洞和攻擊模擬平臺(tái)的網(wǎng)絡(luò)安全公司設(shè)計(jì)了針對(duì) CVE-2024-49113 的漏洞代碼，但只需稍加修改，它也可能用于攻擊 RCE 漏洞。

攻擊流程從 向目標(biāo)服務(wù)器發(fā)送 DCE/RPC 請(qǐng)求開(kāi)始，目標(biāo)服務(wù)器以 DNS SRV 查詢進(jìn)行響應(yīng)。攻擊者的機(jī)器發(fā)送包含主機(jī)名和 LDAP 端口的 DNS 服務(wù)器響應(yīng)后，受害者會(huì)發(fā)送廣播 NBNS 請(qǐng)求以獲取機(jī)器的 IP 地址，在收到 IP 地址后，受害者會(huì)成為 LDAP 客戶端并向攻擊者發(fā)送 CLDAP 請(qǐng)求。

最后，攻擊者發(fā)送一個(gè)精心設(shè)計(jì)的 CLDAP 引用響應(yīng)包，該包會(huì)導(dǎo)致本地安全機(jī)構(gòu)子系統(tǒng)服務(wù) (LSASS) 進(jìn)程崩潰并強(qiáng)制受害服務(wù)器重新啟動(dòng)。

SafeBreach 指出：“我們認(rèn)為可以利用相同的攻擊媒介來(lái)實(shí)現(xiàn) RCE；上面提到的整個(gè)鏈條，包括前六個(gè)步驟，應(yīng)該是相似的，但最后發(fā)送的 CLDAP 數(shù)據(jù)包應(yīng)該被修改。”

該網(wǎng)絡(luò)安全公司指出，任何未修補(bǔ)的 Windows 服務(wù)器（包括非域控制器的服務(wù)器）都可能利用此漏洞崩潰，并且攻擊者隨后可能會(huì)實(shí)現(xiàn) RCE。

SafeBreach 表示，CVE-2024-49113 是 wldap32.dll（實(shí)現(xiàn) LDAP 客戶端邏輯的庫(kù)）中的一個(gè)整數(shù)溢出缺陷，其 PoC 代碼不適用于已修補(bǔ)的服務(wù)器。

該公司指出：“雖然我們的研究重點(diǎn)是 Windows Server 2022（DC）和 Windows Server 2019（非 DC）的測(cè)試，但我們相信這種漏洞利用路徑和 PoC 適用于補(bǔ)丁點(diǎn)之前的任何 Windows Server 版本。”

建議管理員盡快應(yīng)用可用的補(bǔ)丁。12 月 10 日，微軟發(fā)布了針對(duì) 70 多個(gè)漏洞的修復(fù)程序，其中包括一個(gè)被利用的 Windows 零日漏洞。