- A hozzászóláshoz be kell jelentkezni
- 704 megtekintés
Hozzászólások
Egységnyi idő alatt jó sok enterspályz van most!
- A hozzászóláshoz be kell jelentkezni
Ha domain admin jogot szerzett egy támadó, akkor már régen rossz.
- A hozzászóláshoz be kell jelentkezni
Azért nem teljesen. Domain admin abban a domain-ben tud bármit csinálni, minek admin-ja. Itt meg arról van szó, hogy akár az egész forest-ben matathat admin joggal. Vagyis a forest-ben levő ÖSSZES domain-hez, tree-hez hozzáfér.
Van egy világhálózat, amiben egy porfészek branch admin-ja megszerzi a KDS root key-t (relatíve egyszerű, 1 perc, kell hozzá kb. egy Mimikatz), utána az egész világhálót agyon tudja baszni. Szerintem ez kurva nagy probléma. Nem csak az, hogy a saját admin-od nőhet a fejedre, hanem egy rosszindulatú támadó ha megtöri a branch office-t, onnantól az egész hálót megtörte.
tl;dr: A sérülékenység nélkül csak azt a domain-t tudja lepusztítani, amit sikerült megtörnie. A sérülékenységgel meg az összeset, ami a forest-ben van.
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Ez igy van, de ha domain admint szerez a támadó, akkor már kurvanagyabaj™.
De nyilván van olyan helyzet, ahol ezzel a hibával még nagyobbá lehet emelni, de igazából ha már a domain admin elesett, ott már teljes készültségben, vigyázzban kell állni a teljes infrán.
- A hozzászóláshoz be kell jelentkezni
akkor már kurvanagyabaj™.
Abban a domain-ben, nem a forest-ben levő akár több száz domain-ben. Nem mindegy, hogy egy branch office-t kell újrahúzni, vagy a világon minden office leáll. Ezért kurva cinkes ez a sebezhetőség. Most, akinek van 2 DC-je, egy domain-je, nyilván nem probléma. Ez TOP500 és társainak gáz.
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Én ettől függetlenül se lennék nyugodt egy második domain-ben sem és a forestben sem sehol, ha egy támadó domain admint szerzett. Meg úgy az egész infrán sem.
- A hozzászóláshoz be kell jelentkezni
Ebben a szakmában sosem lehet nyugodt az ember. Sokszor mondtam: neked minden nap szerencsédnek kell lennie, a támadónak elég egyszer. Ezen folyamatosan aggódni? 50 felett? :D Nem akarok én szívinfarktusban vagy sztrókban kifeküdni.
Vedd könnyedén, relax! Főleg, ha az egészre szarik a Microsoft és baszik javítani! (ugye, kalebris?)
:D
PS: ilyenkor örülök, hogy nem vagyok verzióbuzi, az ilyen szolgáltatásoknál mindig az - min. - aktuális-2 verziót favorizálom, így szerencsére engem közvetlenül ez nem érint (hint: 2025 Server only ...) :D
trey @ gépház
- A hozzászóláshoz be kell jelentkezni
Ha jól étrtem a hibát, nem kell, hogy domain admin legyen, elég ha valami sebezhetőséget talál egy olyan programban, ami elég magas jogosultsággal fut. (tehát a domain admin jelszavát nem kell hozzá ismernie).
Már tucatnyi hiba volt korábban is, amivel lépcsőzetesen egy gépfiók-ból el lehetett jutni oda, hogy domain-adminként hajts végre utasításokat (pl. CVE-2021-42278 vagy CVE-2021-42287).
Ennek hatására pedig nem csak azt a domaint tudja megtörni, amiben találta a sebezhetőséget, hanem a forest összes domainjét eléri innentől admin jogosultsággal.
Plusz a jelszó csere sem jelent megoldást. Tehát ha van egy domain admin, akitől később megválnak, hiába tiltották ki, megeshet, hogy előtte hozzáfért ehhez, és nem csak azt a domaint, hanem a forest minden domainjét eléri.
Nagy Péter
- A hozzászóláshoz be kell jelentkezni
Nem igen értem, a gMSA-nak (group managed service accounts) pont az a lényege, hogy a jelszó LDAP-ban tárolódik, onnan - megfelelő jogosultsággal - plaintext kiolvasható.
- A hozzászóláshoz be kell jelentkezni
Ha legalább valami 30 éves hiányosság lenne, de ezt hogy?
a jelszógeneráló algoritmus gyenge
Há'de miért nem fogtak egy erős algoritmust, amit talán már egy szakközépben is tanítanak?
Színes vászon, színes vászon, fúj!
Kérem a Fiátot..
- A hozzászóláshoz be kell jelentkezni
Megnéztem a cikket. Az az "attacker-controlled DC" nekem nem teljesen világos a képen. Ha egy támadó tud DC-t csinálni és azt beléptetni DC-ként egy meglévő AD-be, akkor az már régen rossz.
Másrészt sose becsüljük le tapasztaltabb CISO-k mondását: "Mi még WS 2019-t használunk. Így ez a sebezhetőség minket nem érint." 😇
- A hozzászóláshoz be kell jelentkezni
Most nem kezdem el összehasonlítani, de ez már sok éve velünk van a gMSA-k esetén.
How to recover from a Golden gMSA attack - Windows Server | Microsoft Learn
Hogy most a dMSA-k esetén ugyanez a szitu, attól még ez nem új sérülékenység.
Jalos
- A hozzászóláshoz be kell jelentkezni
regota uj, azota sem foltoztak.
I don't run often, but when I do, I run as administrator.
- A hozzászóláshoz be kell jelentkezni