I ricercatori hanno identificato una falla di sicurezza in Windows, nei servizi DNS forniti da Microsoft per ogni sistema operativo Windows. Gli hacker potrebbero sfruttare la vulnerabilità per ottenere i privilegi admin di dominio sui server per assumere il controllo completo dell’IT di una società.

I ricercatori di Check Point Software Technologies hanno individuato una falla di sicurezza nel domain name system (DNS) di Windows, l’implementazione dei servizi DNS forniti da Microsoft nei sistemi operativi Windows.

Questa falla consentirebbe a un hacker di effettuare query DNS dannose al server DNS di Windows e di ottenere un’esecuzione arbitraria del codice che potrebbe portare alla violazione dell’intera infrastruttura. La vulnerabilità critica, denominata SIGRed dai ricercatori di Check Point, riguarda le versioni dei server Windows del periodo 2003-2019. Microsoft ha identificato la falla di sicurezza e ha pubblicato una patch (CVE-2020-1350) a cui è stato assegnato il punteggio di rischio più alto possibile (CVSS:10.0).

Il DNS, spesso indicato come la “rubrica telefonica di internet”, fa parte dell’infrastruttura globale di internet che traduce i nomi più comuni dei siti web, nelle stringhe di numeri di cui i computer hanno bisogno per trovare un determinato sito web (il cosiddetto indirizzo IP), o per inviare una e-mail. Quando si dispone di un nome di dominio – per esempio www.checkpoint.com – si controlla a quale IP quel nome si collega, tramite un record DNS. Questi server sono presenti in ogni organizzazione e, se sfruttati, darebbero a un hacker i privilegi admin di dominio sul server, consentendogli di intercettare e manipolare le e-mail degli utenti e il traffico di rete, rendere i servizi non disponibili, raccogliere le credenziali degli utenti e altro ancora. In questo modo, l’hacker potrebbe acquisire il controllo completo di un’azienda IT. Su Windows il servizio DNS opera tramite la porta 53 e utilizza il protocollo UDP per eseguire le diverse quey che gli vengono proposte. Siccome la struttura delle query è molto semplice, Check Point è stata in grado di individuare un bug in questo sistema, attuando il cosiddetto attacco Man-in-the-Middle, che permetterebbe ad un hacker di prendere possesso del sistema tramite privilege excalation.

Il 19 maggio 2020, Check Point Research, la divisione Threat Intelligence di Check Point, ha comunicato in modo responsabile i risultati della ricerca a Microsoft. L’azienda ha identificato la falla di sicurezza e ha appena pubblicato una patch (CVE-2020-1350) nel suo “Patch Tuesday” – ieri, 14 luglio 2020. Microsoft ha assegnato alla vulnerabilità il punteggio di rischio più alto possibile (CVSS:10.0). Microsoft descrive una vulnerabilità di questo tipo come “wormable”, il che significa che un singolo exploit può avviare una reazione a catena che permette agli attacchi di diffondersi da un dispositivo vulnerabile all’altro, senza richiedere alcuna interazione umana. Ciò significa che una singola macchina compromessa potrebbe essere un “super distributore”, consentendo all’attacco di diffondersi in tutta la rete di un’organizzazione entro pochi minuti dal primo exploit.

La patch per la vulnerabilità è già disponibile da ieri, 14 luglio 2020. Check Point esorta vivamente gli utenti Windows a patchare i loro server DNS al fine di prevenire lo sfruttamento di questa vulnerabilità. La probabilità che questa vulnerabilità venga sfruttata è alta, in quanto i ricercatori hanno trovato internamente tutti gli elementi necessari per sfruttare questo bug. Ciò significa che anche un hacker determinato potrebbe attingere alle stesse risorse.

“Una violazione del server DNS è una cosa molto seria. La maggior parte delle volte, proietta l’aggressore a un passo dal violare l’intera azienda. Sono pochissimi i tipi di vulnerabilità di questo tipo. Ogni impresa, grande o piccola, che utilizzi un’infrastruttura Microsoft, è esposta a grandi rischi a livello di sicurezza, se lasciata senza patch. Il rischio maggiore sarebbe una completa violazione dell’intera rete aziendale. Questa tipologia di vulnerabilità è presente nel codice Microsoft da più di 17 anni; quindi, se l’abbiamo trovata noi, non è impossibile supporre che qualcun altro l’abbia già trovata. Inoltre, le nostre scoperte dimostrano che non importa quanto crediamo di essere in sicurezza; ci sono, infatti, un’infinità di problemi in questo ambito che aspettano solo di essere scoperti. Chiamiamo questa vulnerabilità ‘SigRed’ e crediamo che dovrebbe essere priorità assoluta porvi rimedio. Questa non è solo un’altra delle tante vulnerabilità: è necessario applicare la patch ora per fermare un’altra eventuale pandemia, ma di tipo informatico.”

 David Gubiani, Regional Director SE EMEA Southern di Check Point.

I ricercatori di Check Point hanno inoltre comunicato una serie di passaggi da eseguire per rimanere protetti da questa gravissima falla:

  1. Applicare la patch Microsoft disponibile – Patch Tuesday (14 luglio 2020) 
  2. Utilizzare un fornitore di terze parti per proteggere l’infrastruttura IT aziendale 
  3. Utilizzare il seguente comando per bloccare l’attacco. Digitare in “CMD”:  
    reg addHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters” /v “TcpReceivePacketSize” /t REG_DWORD /d 0xFF00 /f net stop DNS && net start DNS

Per chi fosse interessato ad un’analisi molto tecnica della vulnerabilità, presente da oltre 17 anni nei sistemi DNS di Windows, che spiega nel dettaglio come è possibile eseguire exploit tramite questo bug, può leggere l’articolo completo di Check Point. Non siamo voluti entrare troppo nel dettaglio di SIGRed in quanto si tratta di procedure altamente tecniche e che potrebbero risultare molto impegnative da comprendere per chi non ha le basi di sicurezza delle reti o di hacking. Per questo vi abbiamo lasciato il link diretto al report di Check Point, così da poter analizzare attentamente come i ricercatori abbiano individuato la falla e sfruttata per eseguire codice arbitrario.

Di Marco Nisticò

Sviluppatore informatico, cerco sempre di stare al passo con i tempi in un mondo ormai circondato dalla tecnologia.

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Questo sito usa Akismet per ridurre lo spam. Scopri come i tuoi dati vengono elaborati.