Lỗi mới trên Azure AD cho phép brute-force mật khẩu mà không bị phát hiện

Thảo luận trong 'Tin tức An ninh mạng' bắt đầu bởi WhiteHat News #ID:0911, 01/10/21, 10:10 AM.

  1. WhiteHat News #ID:0911

    WhiteHat News #ID:0911 WhiteHat Support

    Tham gia: 30/07/14, 10:07 AM
    Bài viết: 662
    Đã được thích: 78
    Điểm thành tích:
    48
    Các nhà nghiên cứu an ninh mạng vừa tiết lộ một lỗ hổng an ninh chưa được vá trong giao thức được Microsoft Azure Active Directory sử dụng, có thể bị tin tặc lợi dụng để tấn công brute-force mà không bị phát hiện.

    Azure.jpg

    Các nhà nghiên cứu Secureworks Counter Threat Unit (CTU) cho biết: "Lỗ hổng này cho phép hacker thực hiện các cuộc tấn công brute-force nhắm vào Azure Active Directory (Azure AD) mà không phải đăng nhập vào hệ thống mục tiêu".

    Lỗ hổng phát sinh do tính năng đăng nhập đăng nhập 1 lần (Seamless SSO) cho phép nhân viên tự động đăng nhập khi sử dụng các thiết bị của công ty có kết nối mạng mà không cần phải nhập lại mật khẩu. Nếu quá trình đăng nhập không thành công, yêu cầu đăng nhập sẽ về mặc định, nghĩa là người dùng cần nhập lại mật khẩu.

    Cơ chế Seamless SSO dựa vào giao thức Kerberos để tra cứu đối tượng người dùng tương ứng trong Azure AD và cấp một phiếu cấp vé (TGT), cho phép người dùng truy cập. Đối với người dùng Exchange Online trên máy khách Office cũ hơn bản cập nhật Office 2013 phát hành từ tháng 5/2015, bước xác thực được thực hiện thông qua điểm cuối theo cách thức mật khẩu "UserNameMixed" tạo mã thông báo truy cập hoặc mã lỗi, tùy thuộc vào thông tin xác thực có hợp lệ hay không.

    Những mã lỗi này là nguồn gốc của lỗ hổng. Xác thực thành công sẽ tạo nhật ký đăng nhập khi gửi mã thông báo truy cập; tuy nhiên, "Xác thực của Autologon tới Azure AD không được ghi lại", dẫn đến các cuộc tấn công brute-force thông qua điểm cuối UserNameMixed mà không bị phát hiện.

    Secureworks đã thông báo cho Microsoft về lỗ hổng từ 29/6 và hãng thừa nhận lỗi này do thiết kế.

    Nguồn: The Hacker News
     
    Last edited by a moderator: 04/10/21, 11:10 AM
    Mời các bạn tham gia Group WhiteHat để thảo luận và cập nhật tin tức an ninh mạng hàng ngày.
    Lưu ý từ WhiteHat: Kiến thức an ninh mạng để phòng chống, không làm điều xấu. Luật pháp liên quan
  1. sImplePerson
  2. ToanDV
  3. WhiteHat Team
  4. Ginny Hà