Уязвимость в Microsoft ADFS поможет злоумышленникам обойти 2FA

Уязвимость в Microsoft ADFS поможет злоумышленникам обойти 2FA

Уязвимость в Microsoft ADFS поможет злоумышленникам обойти 2FA

Новая уязвимость в службе Active Directory Federation Services (ADFS), разработанной Microsoft, позволяет использовать двухфакторную аутентификацию одного аккаунта для других учетных записей в организации. Проблему обнаружил эксперт из Okta REX Эндрю Ли.

Брешь получила идентификатор CVE-2018-8340, используя ее вкупе с несложной фишинговой схемой, злоумышленник может поставить под угрозу учетные записи, принадлежащие другим сотрудникам или руководителям организации.

Также атакующий может получить доступ к конфиденциальной информации через различные ресурсы компании.

«Многие организации полагаются на ADFS в качестве некого гейткипера. Агенты ADFS представляют собой расширения, которые позволяют службе взаимодействовать с провайдером 2FA, которому делегируется проверка многофакторной аутентификации», — объясняет Ли.

«Среди провайдеров 2FA, кроме самой Microsoft, есть и сторонние вендоры: Okta, Gemalto, Duo, Authlogics, RSA и SecureAuth».

Обнаруженная Ли возникает из-за того, что протокол проверяет учетные данные и факторы самой аутентификации, но при этом предоставленный фактор не связан с фактической учетной записью.

Эксплуатация этой уязвимости наиболее очевидна и возможна со стороны злонамеренного инсайдера, у которого при этом имеется собственный легитимный аккаунт. Однако использовать брешь может также злоумышленник, который получит доступ к легитимной учетной записи.

Сценарий атаки проще осуществить с помощью аккаунта, имеющего низкие права доступа. После получения доступа атакующий сможет скомпрометировать аккаунт с более высокими привилегиями, используя ту же брешь.

Эксперт попытался разработать собственную концепцию устранения этой уязвимости, однако это у него получилось лишь частично. Также Ли сообщил о проблеме Microsoft, которая выпустила соответствующий патч.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Российский рынок служб каталогов в 2025 году оценивают в 3 млрд руб.

После ухода Microsoft более половины объёма рынка служб каталогов делят «Астра», Red Soft и существующие инсталляции AD. В рейтинге отечественных решений лидируют ALD Pro, basealt и Red Soft. Рынок ИТ-каталогов в России стремительно трансформируется: после ухода зарубежных вендоров доля продуктов Microsoft (Active Directory) постепенно вытесняется российскими аналогами.

По данным, представленным на пресс-конференции группы компаний «Астра», объём рынка каталогов в 2025 году оценивается в 3 млрд рублей.

 

 

В тройке лидеров по установленной базе — ALD Pro (ГК «Астра»), РЕД АДМ (Red Soft) и всё ещё сохраняющийся пул ранее внедрённых решений Microsoft.

 

Лидеры и аутсайдеры

Рейтинг российских служб каталогов составляли по совокупности критериев:

  • функциональность,
  • совместимость и масштабируемость,
  • уровень кибербезопасности,
  • поддержка продукта.

ALD Pro 3.0 занял 1-е место, обойдя решения других участников:

  • ALD Pro (ГК «Астра»),
  • РЕД АДМ,
  • basealt,
  • Роса,
  • Эллэс,
  • Avanpost,
  • Multifactor.

Как отметили представители «Астры», компания продолжает наращивать долю за счёт поддержки крупных внедрений, обратной совместимости с AD и развитой партнёрской экосистемы.

Новый релиз ALD Pro 3.0: акцент на масштаб

В тот же день был представлен релиз ALD Pro 3.0 — обновлённой версии службы каталогов от «Астры», оптимизированной для работы в инфраструктурах с десятками тысяч учётных записей.

В числе ключевых улучшений:

  • повышение производительности,
  • переработанный механизм резервного копирования,
  • новые функции контроля и аудита,
  • интерфейс управления доверительными отношениями между разными экземплярами ALD.

Дополнительно была подтверждена совместимость с российскими ОС: Astra Linux, РЕД ОС, «Альт», Rosa, «Эльбрус», а также с платформами на базе процессоров «Эльбрус» и «Байкал».

«Версия ALD Pro 3.0 — это мажорный релиз, который поднимает продукт на новый уровень развития и зрелости, — отметил Алексей Фоменко, директор серверного ПО группы компаний „Астра“. — Он стал возможен во многом благодаря изменениям внутри нашей продуктовой команды».

Кроме того, компания регулярно изучает реальные потребности специалистов, работающих с ALD Pro, чтобы создать ведущий продукт на рынке, отвечающий высоким требованиям заказчиков и регуляторов, — подчеркнул Фоменко.

Внедрение — с опорой на безопасность

Продукт фокусируется на безопасном внедрении в критическую инфраструктуру. Среди механизмов защиты — строгая аутентификация, аудит событий, поддержка многофакторной авторизации, а также инструменты для формирования политик безопасности.

ALD Pro является единственной службой каталога, которая прошла сертификацию ФСТЭК России на соответствие «Требованиям по безопасности информации, устанавливающим уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий» по 2-му уровню доверия (сертификат № 4830).

«Астра» анонсировала планы по дальнейшему развитию ALD Pro с учётом запросов от крупнейших интеграторов и корпораций. В приоритете — расширение сценариев масштабного развертывания и создание единой панели управления для всей линейки решений «Астры».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru