Уязвимость в NEGOEX SPNEGO стала RCE, проверьте наличие сентябрьского патча

Уязвимость в NEGOEX SPNEGO стала RCE, проверьте наличие сентябрьского патча

Уязвимость в NEGOEX SPNEGO стала RCE, проверьте наличие сентябрьского патча

Два дня назад Microsoft обновила бюллетень по закрытой в сентябре уязвимости в NEGOEX (расширении SPNEGO), повысив опасность угрозы до критического уровня. Как оказалось, эксплойт позволяет не только добраться до конфиденциальной информации, но также удаленно выполнить произвольный код.

Проблему усугубляет тот факт, что CVE-2022-37958 способна обеспечить большую площадь атаки для самоходных сетевых червей. Механизм безопасности SPNEGO используют многие протоколы приложений Windows: RDP, SMB, SMTP, HTTP; и для всех этих служб он включен по умолчанию, начиная с Windows 7.

Последствия могут быть разрушительными — достаточно вспомнить эпидемию WannaCry или Petya, а ведь эти шифровальщики с функциями червя использовали лишь один уязвимый протокол Windows — SMB (CVE-2017-0144, она же EternalBlue).

Возможность удаленного исполнения кода с помощью CVE-2022-37958 обнаружила эксперт IBM X-Force Валентина Пальмьотти (Valentina Palmiotti). Согласно описанию в блоге X-Force, эксплойт можно провести, получив доступ к NEGOEX через любую службу, использующую этот механизм расширенного согласования протокола аутентификации.

Взаимодействия с пользователем атака в данном случае не требует, однако добиться успеха с первой попытки вряд ли удастся. В связи с этим степень опасности RCE-проблемы Microsoft оценила в 8,1 балла CVSS — как высокую. Тем не менее всем обновлениям с патчем для Windows присвоен статус «критическое».

Подробности уязвимости до сих пор не опубликованы: пользователям дали дополнительное время на латание дыр. Всем, кто это еще не сделал, настоятельно советуют установить обновления безопасности от 13 сентября. Другие полезные рекомендации:

  • проверить интернет-доступ к затронутым сервисам (SMB, RDP);
  • непрерывно мониторить внешний периметр, особенно веб-серверы IIS с включенной аутентификацией Windows;
  • сократить число провайдеров аутентификации, оставив лишь Kerberos или Net-NTLM; удалить дефолтного провайдера Negotiate.

В 31% российских компаний отсутствует стратегия внедрения средств ИБ

По данным MWS Cloud (входит в МТС Web Services), стратегию внедрения средств кибербезопасности имеют лишь 42% российских компаний. У 27% бизнес-структур она находится в стадии разработки, а у 31% таковой нет.

Проведенное исследование также показало, что российский бизнес осознает необходимость вкладываться в ИБ, однако небольшие предприятия ожидаемо отстают по наличию стратегии на этом направлении (из-за ограниченных ресурсов). У крупных компаний показатель составил 58-68%, у мини и микро — лишь 31%.

Решения в отношении СЗИ обычно принимает руководство: в 66% случаев — директор по инфраструктуре, в 18% — гендиректор, в 8% — директор по кибербезу. На внедрение таких решений в российских компаниях чаще всего уходит от одного до шести месяцев, в 14% случаев — более 1 года.

Две трети крупных бизнес-структур предпочитают пользоваться облачными ИБ-услугами, в СМБ показатели скромнее (от 24 до 29%).

«Отраслевой срез показывает, что лидерами по доле средств кибербезопасности в облаке являются ИТ, сегмент развлечений и медиа, а также наука и образование (средняя доля около 36%), — отметил директор по продуктам MWS Cloud Михаил Тутаев. — Для транспорта и ретейла также характерны высокие значения (24–27%)».

RSS: Новости на портале Anti-Malware.ru