安全公司Cylance揭露一個Windows中存在18年的Redirect to SMB漏洞,影響至少31家第三方軟體,除了微軟還包括甲骨文、賽門鐵克、蘋果、Box、Adobe等。該漏洞可能導致包括Windows 10預覽版在內的PC、平板,與伺服器用戶帳密被竊取,但微軟則表示沒那麼嚴重。

早在1997年Aaron Spangler就已發現Windows中名為Redirect to SMB (server message block)的漏洞。Cylance表示,這個漏洞的發現是受到Aaron的啟發,該漏洞可能讓駭客發動中間人攻擊(man-in-the-middle)以挾持用戶與合法網頁伺服器間的通訊,將使用者導向惡意SMB伺服器,取得用戶帳號、網域及加密密碼等。只要對IE瀏覽器發出以file開頭的URL,可能導致Windows作業系統企圖和SMB伺服器進行驗證登入。這讓駭客可以傳送以File開頭的URL,誘騙使用者點入並連向駭客設立的伺服器,藉此取得受害系統的加密帳號與密碼、或網域等登入資訊。而File://連結可以傳送圖像、iFrame或任何可由瀏覽器解析的網頁資源。

然而微軟並未解決1997年由Aaron Spangler所提報的這個漏洞問題,Cylance表示,希望我們的研究能夠讓微軟重新思考這個漏洞並關閉不受信賴的SMB伺服器的授權。這不但能夠阻檔Spangler所發現的攻擊,也能解決新的Redirect to SMB攻擊。

Cylance依據18年前的研究設計出新的實驗,他們架了一台HTTP伺服器回傳HTTP 302狀態碼,將用戶端重新導向到File://的伺服器目的地,證明http://URL也可以引發OS自動驗證。他們最後找到4個Windows API可允許從HTTP/HTTPS 重新導向SMB。

展示中研究人員向一個具備圖片預覽功能的聊天軟體用戶傳送File://連結,這個連結會連向由研究人員設立的SMB伺服器。結果該軟體試圖下載圖片,而導致使用者電腦與SMB伺服器進行驗證。研究人員也成功以一般的HTTP連結將使用者重新導向到File://的伺服器目的地。

研究人員指出,Redirect to SMB最可能是用於目標式攻擊,因為駭客掌握了受害系統的部份元件,駭客可製作惡意廣告,暗中迫使IE用戶強迫驗證。

對此CERT也發佈編號VU#672268的漏洞公告警告,即使用戶是在加密狀態下,也可能遭駭客暴力破解。目前這個問題CERT尚未得知「完整解決方案」。CERT呼籲用戶,關閉區域網路連外的SMB連線,並更新NTLM(NT LAN Manager)群組政策。

不過微軟對媒體表示,要引發中間人攻擊需要集結很多因素,而且早在2009年就已經在安全部落格中更新指導原則,可解決這類可能的威脅。另外,Windows中的安全功能,如驗證延伸防護,也為現有網路連線帳密方式提升防禦等級。至於微軟是否以及何時修補這項漏洞,微軟尚未對媒體回應。(編譯/林妍溱)

熱門新聞

Advertisement