Zerologon, 2020’de CVE-2020-1472 ile açıklanan ve Windows alan denetleyicilerini doğrudan hedef alan bir zafiyettir. Sorun, makinelerin alan denetleyicisiyle güvenli kanal kurarken kullandığı Netlogon protokolünün bir şifreleme aşamasındadır. Kusur, bu aşamada seçilen şifreleme modunun belirli girdiler için öngörülebilir bir sonuç üretmesine dayanır ve saldırganın kimlik doğrulama olmadan işlem yapmasına kapı aralar.

Zerologon, Netlogon güvenli kanal kurulumundaki şifreleme kusurunu kullanarak saldırganın alan denetleyicisinin makine parolasını sıfırlamasına ve dizinin kontrolünü ele geçirmesine yol açan bir zafiyettir.

Şifreleme Kusuru Nasıl Sömürülür?

Netlogon oturum kurulumunda kullanılan şifreleme modu, tümü sıfırdan oluşan bir başlatma değeriyle çalıştırıldığında girdilerin bir bölümü için şifreli çıktının da sıfır olma olasılığı vardır. Saldırgan bu durumu istismar ederek ortalama birkaç yüz denemede kimlik doğrulama adımını geçer. Ardından aynı protokol üzerinden alan denetleyicisinin bilgisayar hesabı parolasını boş bir değere sıfırlar. Bu noktadan sonra saldırgan, alan denetleyicisinin kimliğini üstlenerek dizin veritabanının tamamına erişebilir.

Kerberos’la İlişkisi

Netlogon parolası sıfırlandığında bunun etkisi kimlik doğrulama altyapısının bütününe yansır. Alan denetleyicisi, Kerberos kimlik doğrulama biletlerini imzalayan ve dizin nesnelerini yöneten merkezdir; onun makine kimliğini ele geçiren saldırgan, kullanıcı parolalarının şifreli özetlerini çekebilir ve istediği hesap adına bilet üretebilir. Böylece tek bir protokol kusuru, Active Directory güvenliği mimarisinin tümünü tehdit eder.

Neden En Yüksek Önceliğe Alındı?

Zerologon, saldırganın önceden hiçbir kimlik bilgisine ihtiyaç duymaması ve iç ağa erişimi olan birinin dakikalar içinde alan yöneticisi seviyesine çıkabilmesi nedeniyle olağanüstü etkilidir. Bu profil, onu klasik bir yetki yükseltme adımından çok daha hızlı ve yıkıcı kılar. Kamuya açıklandıktan kısa süre sonra fidye yazılımı gruplarının saldırı zincirlerine dahil olması, aciliyetini pekiştirdi.

Yama ve İzleme

Microsoft düzeltmeyi iki aşamalı yayımladı: önce güvensiz Netlogon çağrılarını isteğe bağlı reddeden, sonra zorunlu kılan bir yaklaşım. Bu nedenle sadece yamayı yüklemek değil, zorlama modunu etkinleştirmek de gerekir; her iki adımın envanterdeki tüm alan denetleyicilerine ulaşması disiplinli bir yama yönetimi sürecine bağlıdır.

Alan denetleyicisi makine hesabında beklenmedik bir parola değişikliği veya çok sayıda başarısız Netlogon denemesi görüldüğünde, saldırganın dizin veritabanına erişip erişmediğinin ve hangi hesapların ele geçmiş olabileceğinin acilen araştırılması gerekir. Bu kapsamın çıkarılması için olay inceleme ve olay müdahalesi çalışması, alan genelinde yenilenmesi gereken kimlik bilgilerini belirler.