CVE-2022-26809: Microsoft RPC Remote Code Execution

Einführung

Am 12. April 2022 kündigte Microsoft einen Fix für eine Sicherheitslücke an, die auf Windows-Hosts abzielt, auf denen die Remote Procedure Call Runtime (RPC) läuft, die üblicherweise mit Windows SMB verwendet wird. Diese Sicherheitsanfälligkeit wurde mit dem CVSS-Score 9.8 (kritisch) bewertet, da der Angriff keine Authentifizierung erfordert und aus der Ferne über ein Netzwerk ausgeführt werden kann, was zu einer Remotecodeausführung (RCE) führen kann.

Die Schwachstelle wurde CVE-2022-26809 zugeordnet, und Administratoren können weitere Informationen auf Microsofts MSRC finden. Details über die genaue Schwachstelle sind derzeit unklar, da böswillige Akteure diese Informationen nutzen könnten, um einen wurmfähigen Exploit zu erstellen, wenn zu viele Informationen an die Öffentlichkeit gelangen. Wir wissen, dass Windows-Hosts, auf denen SMB läuft, für diesen Angriff anfällig sind, und Host-Besitzer sollten den Microsoft-Leitfaden zur Sicherung des SMB-Datenverkehrs in Windows befolgen. Zwar scheint die Schwachstelle bei jedem Dienst aufzutreten, der die RPC-Mechanismen von Microsoft nutzt, doch SMB (Port 445) wird am häufigsten verwendet und ist daher das wahrscheinlichste Ziel eines Angriffs.

Eine Censys Ansicht

Censys Daten zeigen, dass mit Stand vom 13. April 2022 1.304.288 Hosts das SMB-Protokoll verwenden, von denen 824.011 (63 %) als Windows-basiertes Betriebssystem identifiziert wurden. Die Leser sollten beachten, dass Censys das Betriebssystem von ca. 369.485 (28 %) Hosts, die SMB verwenden, nicht bestimmen konnte.

• Censys SMB Search:
  •  services.dienst_name=SMB
• Censys SMB Search (nur Microsoft-Produkte):
  • (services.service_name=SMB) und services.software.vendor: "microsoft"

Die fünf wichtigsten Länder für SMB

Die fünf wichtigsten autonomen Systeme für SMB

Für Censys Kunden

Ein Risiko für gefährdete SMB-Dienste besteht bereits für Censys ASM-Kunden, aber angesichts dieser Schwachstelle haben wir die Kritikalität von "hoch" auf "kritisch" erhöht und einen Hinweis auf diese CVE hinzugefügt.

Aktualisierungen

Censys wird dieses Problem weiter beobachten und diesen Beitrag entsprechend aktualisieren.