Aangevallen zeroday in Microsoft Word laat aanvaller NTLM-hashes stelen

[Captain Kirk]

Tijdens de patchdinsdag van september heeft Microsoft 59 kwetsbaarheden verholpen, waaronder een actief aangevallen zerodaylek in Word waardoor een aanvaller NTLM-hashes kan stelen. Tevens werd een tweede zeroday gepatcht die een aanvaller met toegang tot het systeem zijn rechten laat verhogen.

In maart kwam Microsoft ook al met een update voor een zeroday in Word waardoor het stelen van NTLM-hashes mogelijk is. Het nieuwste zerodaylek wordt aangeduid als CVE-2023-36761 en is te misbruiken via een malafide document. Daarbij hoeft een slachtoffer het document niet te openen, ook als het via de preview pane (voorbeeldvenster) wordt weergeven is misbruik mogelijk.

Via het malafide document kan een aanvaller het slachtoffer op zijn server laten inloggen, waarbij de hash wordt verstuurd, die vervolgens kan worden onderschept. De aanvaller kan daarna proberen de NTLM-hash te kraken of die te 'relayen' en zich zo als het slachtoffer bij andere diensten te authenticeren. Details over de aanvallen worden niet door Microsoft gegeven, behalve dat details over de kwetsbaarheid inmiddels ook openbaar zijn.

De tweede zeroday (CVE-2023-36802) waarvoor Microsoft een update uitbracht bevindt zich in de streaming proxy service van Windows en maakt het mogelijk voor een aanvaller die al toegang tot de computer heeft om SYSTEM-rechten te krijgen en het systeem zo volledig over te nemen. Deze kwetsbaarheid werd door Microsoft zelf gevonden, alsmede door onderzoekers van IBM X-Force en DBAPPSecurity WeBin Lab.

Tevens kwam Microsoft met updates voor vijf kritieke kwetsbaarheden, waarvan drie in Visual Studio, één in Internet Connection Sharing (ICS) en één in Azure Kubernetes Service. De vier beveiligingslekken in Visual Studio en ICS maken remote code execution mogelijk. Het lek in Kubernetes laat een aanvaller zijn rechten op het systeem verhogen.

Verder werd ook een kwetsbaarheid opgelost dat door de Nederlandse onderzoekers Thijs Alkemade, Khaled Nassar en Daan Keuper was gevonden. Het beveiligingslek in Windows Themes maakt het mogelijk voor een aanvaller om willekeurige code uit te voeren als het slachtoffer een malafide Windows Themes-bestand opent. De updates zullen op de meeste systemen automatisch worden geïnstalleerd.

 

bron: https://www.security.nl