La CVE-2020-1472 est liée à un défaut d’implémentation de la technique de chiffrement AES-128-CFB8. Cette vulnérabilité permet par exemple à un utilisateur malveillant de prendre le contrôle total et à distance d’un contrôleur de domaine, ou de modifier le mot de passe d’un utilisateur du domaine.

Les systèmes affectés sont les actifs Windows Server 2008 / 2012 / 2012 R2 / 2016 / 2019 / Server 1903, 1909, 2004 qui n’ont pas installé la mise à jour de sécurité du 11 août 2020, avec une attention toute particulière à porter aux systèmes qui agissent comme contrôleurs de domaines.
La liste détaillée de ces éléments est disponible sur le site de l’Agence Nationale de la Sécurité des Systèmes d’Information (https://www.cert.ssi.gouv.fr/alerte/CERTFR-2020-ALE-020/).

Pour plus d’informations techniques sur l’origine et le fonctionnement de la vulnérabilité, vous pouvez consulter l’article du blog technique Cyberwatch "Comment identifier et neutraliser la vulnérabilité CVE-2020-1472 (ZeroLogon / Netlogon) ?".

Plusieurs exploits sont d’ores et déjà disponibles gratuitement et publiquement sur GitHub, dont le kit https://github.com/dirkjanm/CVE-2020-1472.
Kevin Beaumont, analyste au « Microsoft Threat Intelligence Global Engagement & Response », a indiqué avoir détecté des tentatives d’exploitation de cette vulnérabilité dès le samedi 26 septembre 2020, confirmant ainsi la probabilité de subir une attaque à l’aide de ZeroLogon.

Recommandations

Microsoft a mis à disposition les mises à jour de sécurité suivantes :
• KB4571729 / KB4571719 pour Windows Server 2008 R2
• KB4571736 / KB4571702 pour Windows Server 2012
• KB4571703 / KB4571723 pour Windows Server 2012 R2
• KB4571694 pour Windows Server 2016
• KB4565349 pour Windows Server 2019
• KB4565351 pour Windows Server version 1903 et version 1909
• KB4566782 pour Windows Server version 2004
Note : les mises à jour cumulatives publiées en septembre 2020 permettent également de neutraliser la vulnérabilité.

Microsoft recommande d’appliquer ces mises à jour en ciblant en priorité les contrôleurs de domaine, et incite également à configurer les connexions de canaux sécurisés Netlogon suivant la procédure définie ici : https://support.microsoft.com/fr-fr/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc.

Cyberwatch recommande par ailleurs de consulter le bulletin de l’Agence Nationale de la Sécurité des Systèmes d’Information CERTFR-2020-ALE-020, qui dispose notamment de marqueurs techniques de codes d’exploitation.

Cyberwatch recommande enfin d’effectuer une recherche de la vulnérabilité sur votre système d’information dans les plus brefs délais, en ciblant a minima les contrôleurs de domaine.