【安全风险通告】ADV210003 Windows NTLM中继攻击漏洞安全风险通告

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告和有效解决方案。

近日，奇安信CERT监测到微软发布了针对Active Directory 证书服务 (AD CS) 的 NTLM 中继攻击漏洞缓解通告（ADV210003）。此漏洞允许攻击者强制域控制器向指定机器进行NTLM身份认证，未经身份认证的攻击者可利用此漏洞发起NTLM中继攻击并接管Windows域。目前该漏洞的细节及PoC已公开，该漏洞的危害上升，奇安信CERT强烈建议客户实施微软推送的缓解该漏洞危害的缓解措施。

近日，奇安信CERT监测到微软发布了针对ActiveDirectory 证书服务 (AD CS) 的 NTLM 中继攻击漏洞缓解通告（ADV210003）。此漏洞允许攻击者强制域控制器向指定机器进行NTLM身份认证，未经身份认证的攻击者可利用此漏洞发起NTLM中继攻击并接管Windows域。目前该漏洞的细节及PoC已公开，该漏洞的危害上升，奇安信CERT强烈建议客户实施微软推送的缓解该漏洞危害的缓解措施。

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2008 R2 for x64-based Systems Service Pack 1(Server Core installation)

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Windows Server 2008 for x64-based Systems Service Pack 2(Server Core installation)

Windows Server 2008 for x64-based Systems Service Pack 2

Windows Server 2008 for 32-bit Systems Service Pack 2(Server Core installation)

Windows Server 2008 for 32-bit Systems Service Pack 2

Windows Server 2016 (Server Core installation)

Windows Server 2016

Windows Server, version 20H2 (Server Core Installation)

Windows Server, version 2004 (Server Core installation)

Windows Server 2019 (Server Core installation)

Windows Server 2019

实施微软建议的缓解该漏洞危害的措施

链接：https://support.microsoft.com/zh-cn/topic/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs-3612b773-4043-4aa9-b23d-b87910cd3429

参照链接：https://docs.microsoft.com/en-us/security-updates/SecurityAdvisories/2009/974926  对服务器进行设置加固。

奇安信天眼产品解决方案

奇安信天眼新一代威胁感知系统在第一时间加入了该漏洞的检测规则，请将规则包升级到3.0.0805.12965及以上版本。规则名称：Windows Server MS-EFSRPC 强制 NTLM 认证漏洞，规则ID：0x5dd0。奇安信天眼流量探针（传感器）升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。

奇安信网神统一服务器安全管理平台更新入侵防御规则库

奇安信网神虚拟化安全轻代理版本将于8月6日发布入侵防御规则库2021.08.06版本，支持对ADV210003 Windows NTLM 中继攻击的防护，届时请用户联系技术支持人员获取规则升级包对轻代理版本进行升级。

奇安信网神统一服务器安全管理平台将于8月6日发布入侵防御规则库10398版本，支持对ADV210003 Windows NTLM 中继攻击的防护，届时请用户联系技术支持人员获取规则升级包对融合版本进行升级。

奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器（NDS5000/7000/9000系列）产品，已具备该漏洞的检测能力。规则ID为：52292，建议用户尽快升级检测规则库至2108051520以后版本并启用该检测规则。

奇安信网神智慧防火墙产品防护方案

奇安信新一代智慧防火墙（NSG3000/5000/7000/9000系列）和下一代极速防火墙（NSG3500/5500/7500/9500系列）产品系列，已通过更新IPS特征库完成了对该漏洞的防护。建议用户尽快将IPS特征库升级至” 2108051500” 及以上版本并启用规则ID: 1249201进行检测。

2021年8月5日，奇安信 CERT发布安全风险通告

奇安信CERT长期招募安全研究员

↓ ↓ ↓ 向下滑动图片了解更多↓ ↓ ↓