https://www.informationsecurity.com.tw/seminar/2024_OT/
https://www.informationsecurity.com.tw/seminar/2024_OT/

觀點

為什麼CVE-2023-23397你必須關注?並且應盡速更新

2023 / 03 / 23
編輯部
為什麼CVE-2023-23397你必須關注?並且應盡速更新
微軟3月在patch Tuesday修復了 Outlook 中存在的零日漏洞, CVE-2023-23397,它是一個許可權提升漏洞,攻擊者可以利用該漏洞存取受害者的 Net-NTLMv2 回應身份驗證雜湊並冒充該使用者。安全研究人員警告稱 CVE-2023-23397 非常危險,有望成為近期影響最深遠的漏洞,幾乎影響所有組織。
 
CVE-2023-23397 漏洞由烏克蘭電腦緊急回應小組(CERT)的研究人員和微軟一名研究人員發現。一旦攻擊者成功利用 CVE-2023-23397 漏洞,就可向受害者發送惡意 Outlook 郵件或任務來竊取 NTLM 身份驗證雜湊。當 Outlook 用戶端檢索和處理這些郵件時,這些郵件會自動觸發攻擊,可能會在預覽窗格中查看電子郵件之前導致攻擊。換句話說,受害者實際上不必打開電子郵件就成為攻擊的受害者。

一旦漏洞被成功利用,會帶來核心 IT 系統被破壞、分發大量惡意軟體、以及業務運營和業務連續性中斷等安全風險。
 
據了解,漏洞主要影響Exchange 伺服器和 Outlook for Windows 桌面用戶端的用戶,Outlook for Android、iOS、Mac 和 Outlook for Web(OWA)等均不受影響。

專家表示,潛在的攻擊者可以發送特製的電子郵件,使受害者與攻擊者控制的外部 UNC 位置建立連接,這將使得攻擊者獲得受害者的 Net-NTLMv2 雜湊,然後攻擊者將其轉發給另一個服務並作為受害者進行身份驗證。

微軟並沒有提及網路犯罪分子如何利用 CVE-2023-23397 漏洞,但根據研究來看,通過該漏洞,攻擊者可以不斷重複使用被盜的身份驗證,最終成功盜取資料或安裝惡意軟體。

CVE-2023-23397幾乎影響到所有類型和規模組織,由於該漏洞資訊已經公開,而且概念驗證的說明已有詳細記錄,潛在攻擊者可能會在惡意行動中利用該漏洞,並針對更廣泛的族群GitHub 和其它開放論壇上已經可以找到公開的概念證明。

如何防範 CVE-2023-23397

對於無法立即進行漏洞修補的用戶,專家建議管理員應該使用周邊防火牆、本地防火牆和 VPN 設置來阻止 TCP 445/SMB 出站流量。這一操作可以防止 NTLM 身份驗證消息傳輸到遠端檔共用,有助於解決 CVE-2023-23397 問題。

此外,資安人員還應將使用者添加到 Active Directory 中的「受保護用戶安全性群組」,以防止 NTLM 作為身份驗證機制,與其它禁用 NTLM 的方法相比,這種方法簡化故障排除,對高權限帳戶特別有效。