Vulnerabilidad CVE-2020-1472
La vulnerabilidad se presenta en el protocolo remoto Netlogon (MS-NRPC) debido a una implementación incorrecta del cifrado AES. Si bien no es necesario contar con credenciales para la explotación de la vulnerabilidad, el atacante debe contar con acceso a la red local, ya que el ataque debe funcionar simulando ser un intento de inicio de sesión normal.
Los productos y versiones afectadas se detallan en la siguiente tabla:
Productos Afectados | Versiones |
Windows Server 2008 R2 x64 | Service Pack 1 |
Windows Server 2012 |
|
Windows Server 2012 R2 |
|
Windows Server 2016 |
|
Windows Server 2019 |
|
Windows Server |
|
Samba | 4.0 o superior, sólo cuando es usado como Controlador de Dominio Active Directory o NT4 |
Remediación
Microsoft Windows Server
Microsoft está manejando la vulnerabilidad en una implementación en dos fases.
- La primera fase “Initial Deployment Phase” inicio con los parches liberados el 11 de agosto de 2020.
- La segunda fase “Enforcement Mode” está planificada para el 9 de febrero del 2021.
La remediación de la vulnerabilidad implica instalar los parches mencionados sobre todos los controladores de dominio, incluyendo los de solo lectura.
Samba
Para las versiones 4.7 o inferiores se debe configurar el servidor para usar Netlogon en un canal seguro, para esto es necesario editar la siguiente configuración en la sección [global] del archivo smb.conf:
server schannel = yes
Las versiones 4.8 y superiores por defecto usan un canal seguro, lo que equivale a tener la configuración 'server schannel = yes' por defecto.
Estas versiones no son vulnerables a menos que se hayan configurado manualmente para usar un canal no seguro. Esto se puede verificar asegurándose de que las siguientes líneas no se encuentren en el archivo smb.conf:
server schannel = no
server schannel = auto
En caso contrario se deben quitar del archivo ya que esto indica la presencia de la vulnerabilidad.
Para que los miembros de dominio y servidores de archivos Samba puedan comunicarse con los controladores de dominio usando un canal seguro, se debe verificar que no contengan en su archivo smb.conf la línea:
client schannel = no
En caso de que se requiera compatibilidad con canales inseguros, se recomienda actualizar a las versiones 4.10.17, 4.11.12 o 4.12.6, que proveen soporte para configurar excepciones.
Recomendaciones
Se recomienda actualizar lo antes posible las actualizaciones del 11 de agosto de 2020 disponibles en el siguiente enlace.
Asimismo, se exhorta a seguir las indicaciones del fabricante para la aplicación de los parches y el acondicionamiento previo para los cambios a ser liberados en febrero de 2021. Acceder a las indicaciones en el siguiente enlace.
Referencias
Acceder a más información sobre CVE-2020-1472 en la página de Microsoft
Descargar indicaciones para la remediación sobre CVE-2020-147
Acceder a más información sobre CVE-2020-1472 en la página de Samba
Descargar los parches liberados por Samba