La patch esiste dall’11 agosto, ma per settimane è passata quasi inosservata. L’11 settembre i ricercatori che hanno scoperto la falla ne hanno pubblicato i dettagli tecnici, e nel giro di pochi giorni sono comparsi exploit pubblici. Il 18 settembre l’agenzia statunitense per la cybersicurezza ha emesso una direttiva d’emergenza: tutti gli enti federali devono aggiornare i controller di dominio entro oggi, 21 settembre. La falla si chiama Zerologon (CVE-2020-1472) e ha gravità 10 su 10.
Il problema sta in Netlogon, il protocollo con cui computer e server si autenticano presso il controller di dominio di Active Directory. Per un errore nell’uso della cifratura AES in modalità CFB8, con un vettore di inizializzazione fatto di soli zeri, un messaggio composto interamente da zeri viene accettato come valido in media una volta ogni 256 tentativi. Basta riprovare finché non funziona.
Chi raggiunge il controller dalla rete, senza alcuna credenziale, può così fingersi un qualsiasi computer del dominio, compreso il controller stesso. Da lì azzera la password dell’account macchina del controller, estrae gli hash di tutti gli account e diventa amministratore di dominio. Bastano pochi secondi. Un PC infettato con una mail di phishing diventa la base per prendere l’intera infrastruttura Windows, ed è difficile immaginare uno strumento più comodo per un gruppo ransomware.
Sono vulnerabili tutti i controller di dominio Windows Server non aggiornati, dalla 2008 R2 alla 2019, e i server Samba configurati come controller di dominio, che hanno ricevuto correzioni dedicate.
Uno solo dimenticato basta
Installa gli aggiornamenti di agosto, o successivi, su tutti i controller di dominio, nessuno escluso. Se usi Samba, aggiornalo e verifica che server schannel = yes sia attivo. Limita l’accesso di rete ai controller ai soli sistemi che ne hanno bisogno.
Poi guarda avanti. Nel registro eventi di sistema gli ID 5827, 5828 e 5829 segnalano connessioni Netlogon non sicure. Indicano i dispositivi che smetteranno di funzionare con la seconda fase della correzione, prevista per febbraio 2021, quando Windows rifiuterà le connessioni Netlogon non protette. Meglio scoprire adesso quale vecchio NAS o quale apparato dimenticato rientra nella lista.
