El 14 de julio de 2020, Microsoft publicó una actualización de seguridad relacionada con una vulnerabilidad de ejecución remota de código (RCE) y denegación de servicio (DoS) ( CVE-2020-1350 ) en Windows DNS Server ( 2003-2019 ).

Resumen

• El Instituto Nacional de Estándares y Tecnología (NIST) asignó una puntuación CVSS crítica de 10 sobre 10 basada en la ejecución remota de código sin autenticación y el potencial de autorreplicación sin interacción del usuario
• Se estima que la vulnerabilidad tiene 17 años y afecta a los sistemas operativos más antiguos (Windows 2003+), que ya no son compatibles
• El rol de DNS, que debe estar habilitado para verse afectado, está habilitado en la mayoría de los entornos y es requerido por los servicios de Active Directory y Kerberos
• La vulnerabilidad fue reportada por Check Point Research y se le dio el nombre "SIGRed"

Cronología de eventos

• 19 de mayo de 2020: divulgación inicial de Check Point enviada a Microsoft
• 18 de junio de 2020 - CVE-2020-1350 emitido a vulnerabilidad
• 14 de julio de 2020: parche lanzado por Microsoft
• 16 de julio de 2020: se publica la primera prueba de concepto pública de DoS
• 17 de julio de 2020: Elastic lanza la lógica de detección pública SIGRed

Impacto

Todos los sistemas que aprovechan el servicio del servidor DNS de Windows se ven afectados (Windows 2003+). Esto incluye máquinas como controladores de dominio / servidores miembro que aprovechan Active Directory / Kerberos, ya que estos servicios dependen del servicio DNS de Windows.

Es de destacar que esto tiene un impacto en la forma en que el servidor DNS de Windows maneja incorrectamente las solicitudes con formato incorrecto y no es un problema subyacente con el protocolo DNS en sí.

El exploit SIGRed aprovecha múltiples tácticas y técnicas categorizadas por el marco MITRE ATT & CK®:

Táctica

• Movimiento lateral
• Ejecución

Tecnicas

• Servicios remotos externos
• Explotación de servicios remotos

Detección

Lógica de detección

El 30 de junio de 2020, el equipo de Elastic Security Intelligence & Analytics lanzó al público un repositorio de reglas de detección . Ampliando las reglas que se publicaron con esa publicación, se ha incluido reglas de red y de punto final que apuntan a CVE-2020-1350 (SIGRed) en el repositorio público:

• Proceso secundario inusual de dns.exe
• Modificación de archivo inusual por dns.exe
• Respuesta de DNS anormalmente grande

Más informacion desde el Blog de Elastic