BlueKeep ( CVE - 2019-0708 ) adalah kerentanan keamanan yang ditemukan dalam Desktop yang Protocol memungkinkan kemungkinan eksekusi kode jarak jauh .
Pertama kali dilaporkan pada Mei 2019, ia hadir di semua versi Microsoft Windows berbasis Windows NT yang belum ditambal mulai dari Windows 2000 hingga Windows Server 2008 R2 dan Windows 7 . Microsoft mengeluarkan patch keamanan (termasuk pembaruan out-of-band untuk beberapa versi Windows yang telah mencapai akhir masa pakainya, seperti Windows XP ) pada 14 Mei 2019. Pada 13 Agustus 2019, terkait kerentanan keamanan BlueKeep, secara kolektif bernama DejaBlue , dilaporkan mempengaruhi versi Windows yang lebih baru, termasuk Windows 7 dan semua versi terbaru hingga Windows 10 dari sistem operasi, serta versi Windows yang lebih lama. [3] Pada 6 September 2019, Metasploit eksploitasi BlueKeep dicairkan diumumkan telah dirilis ke ranah publik. [4]
Sejarah
Kerentanan keamanan BlueKeep pertama kali dicatat oleh Pusat Keamanan Siber Nasional Inggris [2] dan, pada 14 Mei 2019, dilaporkan oleh Microsoft . Kerentanan itu diberi nama BlueKeep oleh pakar keamanan komputer Kevin Beaumont di Twitter . BlueKeep secara resmi dilacak sebagai: CVE- 2019-0708 dan merupakan wormable " eksekusi kode jarak jauh . [5] [6]
Baik Badan Keamanan Nasional (yang mengeluarkan nasihatnya sendiri tentang kerentanan pada 4 Juni 2019) [7] dan Microsoft menyatakan bahwa kerentanan ini berpotensi digunakan oleh worm yang menyebar sendiri , dengan Microsoft (berdasarkan perkiraan peneliti keamanan bahwa hampir 1 juta perangkat rentan) mengatakan bahwa serangan teoretis semacam itu dapat memiliki skala yang mirip dengan EternalBlue seperti NotPetya dan WannaCry . [8] [9] [7]
Pada hari yang sama dengan penasihat NSA, para peneliti dari Pusat Koordinasi CERT mengungkapkan RDP masalah keamanan terkait Pembaruan Windows 10 Mei 2019 dan Windows Server 2019 , mengutip perilaku baru di mana Network Level Authentication kredensial masuk di-cache pada sistem klien, dan pengguna dapat memperoleh kembali akses ke koneksi RDP mereka secara otomatis jika koneksi jaringan mereka terputus. Microsoft mengabaikan kerentanan ini sebagai perilaku yang dimaksudkan, dan dapat dinonaktifkan melalui Kebijakan Grup . [10]
Mulai 1 Juni 2019, tidak ada malware dari kerentanan yang tampaknya diketahui publik; namun, proof of concept (PoC) yang tidak diungkapkan yang mengeksploitasi kerentanan mungkin telah tersedia. [8] [11] [12] [13] Pada 1 Juli 2019, Sophos , sebuah perusahaan keamanan Inggris, melaporkan contoh kerja PoC semacam itu, untuk menekankan kebutuhan mendesak untuk menambal kerentanan. [14] [15] [16] Pada tanggal 22 Juli 2019, rincian lebih lanjut dari eksploitasi konon diungkapkan oleh pembicara konferensi dari sebuah perusahaan keamanan Cina. [17] Pada tanggal 25 Juli 2019, pakar komputer melaporkan bahwa versi komersial dari eksploitasi mungkin telah tersedia. [18] [19] Pada tanggal 31 Juli 2019, pakar komputer melaporkan peningkatan signifikan dalam aktivitas RDP berbahaya dan memperingatkan, berdasarkan riwayat eksploitasi dari kerentanan serupa, bahwa eksploitasi aktif kerentanan BlueKeep di alam liar mungkin akan segera terjadi. [20]
Pada 13 Agustus 2019, kerentanan keamanan BlueKeep terkait, secara kolektif bernama DejaBlue , dilaporkan memengaruhi versi Windows yang lebih baru, termasuk Windows 7 dan semua versi terbaru dari sistem operasi hingga Windows 10 , serta versi Windows yang lebih lama. [3]
Pada 6 September 2019, eksploitasi kerentanan keamanan BlueKeep wormable diumumkan telah dirilis ke ranah publik. [4] Versi awal eksploit ini, bagaimanapun, tidak dapat diandalkan, diketahui menyebabkan kesalahan " layar biru kematian " (BSOD). Perbaikan kemudian diumumkan, menghilangkan penyebab kesalahan BSOD. [21]
Pada 2 November 2019, kampanye peretasan BlueKeep pertama dalam skala massal dilaporkan, dan termasuk misi cryptojacking yang gagal. [22]
Pada 8 November 2019, Microsoft mengkonfirmasi serangan BlueKeep, dan mendesak pengguna untuk segera menambal sistem Windows mereka. [2]
Mekanisme
Protokol RDP menggunakan "saluran virtual", dikonfigurasi sebelum otentikasi, sebagai jalur data antara klien dan server untuk menyediakan ekstensi. RDP 5.1 mendefinisikan 32 saluran virtual "statis", dan saluran virtual "dinamis" terdapat dalam salah satu saluran statis ini. Jika server mengikat saluran virtual "MS_T120" (saluran yang tidak ada alasan sah bagi klien untuk terhubung) dengan saluran statis selain 31, kerusakan heap yang memungkinkan eksekusi kode arbitrer di tingkat sistem. [24]
Windows XP , Windows Vista , Windows 7 , Windows Server 2003 , Windows Server 2008 , dan Windows Server 2008 R2 disebut oleh Microsoft sebagai rentan terhadap serangan ini. Versi yang lebih baru dari 7, seperti Windows 8 dan Windows 10 , tidak terpengaruh. Badan Keamanan Cybersecurity dan Infrastruktur menyatakan bahwa mereka juga berhasil mencapai eksekusi kode melalui kerentanan pada Windows 2000 . [25]
Mitigasi
Microsoft merilis patch untuk kerentanan pada 14 Mei 2019, untuk Windows XP , Windows Vista , Windows 7 , Windows Server 2003 , Windows Server 2008 , dan Windows Server 2008 R2 . Ini termasuk versi Windows yang telah mencapai akhir masa pakainya (seperti Vista, XP, dan Server 2003) dan karenanya tidak lagi memenuhi syarat untuk pembaruan keamanan. [8] Patch memaksa saluran "MS_T120" yang disebutkan di atas untuk selalu terikat ke 31 bahkan jika diminta sebaliknya oleh server RDP. [24]
NSA merekomendasikan tindakan tambahan, seperti menonaktifkan Layanan Desktop Jarak Jauh terkaitnya port ( TCP 3389) jika tidak digunakan, dan memerlukan Otentikasi Tingkat Jaringan (NLA) untuk RDP. [26] Menurut perusahaan keamanan komputer Sophos , otentikasi dua faktor dapat membuat masalah RDP tidak terlalu rentan. Namun, perlindungan terbaik adalah dengan mencabut RDP dari Internet: matikan RDP jika tidak diperlukan dan, jika perlu, buat RDP hanya dapat diakses melalui VPN . [27]
Referensi
Pertama kali dilaporkan pada Mei 2019, ia hadir di semua versi Microsoft Windows berbasis Windows NT yang belum ditambal mulai dari Windows 2000 hingga Windows Server 2008 R2 dan Windows 7 . Microsoft mengeluarkan patch keamanan (termasuk pembaruan out-of-band untuk beberapa versi Windows yang telah mencapai akhir masa pakainya, seperti Windows XP ) pada 14 Mei 2019. Pada 13 Agustus 2019, terkait kerentanan keamanan BlueKeep, secara kolektif bernama DejaBlue , dilaporkan mempengaruhi versi Windows yang lebih baru, termasuk Windows 7 dan semua versi terbaru hingga Windows 10 dari sistem operasi, serta versi Windows yang lebih lama. [3] Pada 6 September 2019, Metasploit eksploitasi BlueKeep dicairkan diumumkan telah dirilis ke ranah publik. [4]
Sejarah
Kerentanan keamanan BlueKeep pertama kali dicatat oleh Pusat Keamanan Siber Nasional Inggris [2] dan, pada 14 Mei 2019, dilaporkan oleh Microsoft . Kerentanan itu diberi nama BlueKeep oleh pakar keamanan komputer Kevin Beaumont di Twitter . BlueKeep secara resmi dilacak sebagai: CVE- 2019-0708 dan merupakan wormable " eksekusi kode jarak jauh . [5] [6]
Baik Badan Keamanan Nasional (yang mengeluarkan nasihatnya sendiri tentang kerentanan pada 4 Juni 2019) [7] dan Microsoft menyatakan bahwa kerentanan ini berpotensi digunakan oleh worm yang menyebar sendiri , dengan Microsoft (berdasarkan perkiraan peneliti keamanan bahwa hampir 1 juta perangkat rentan) mengatakan bahwa serangan teoretis semacam itu dapat memiliki skala yang mirip dengan EternalBlue seperti NotPetya dan WannaCry . [8] [9] [7]
Pada hari yang sama dengan penasihat NSA, para peneliti dari Pusat Koordinasi CERT mengungkapkan RDP masalah keamanan terkait Pembaruan Windows 10 Mei 2019 dan Windows Server 2019 , mengutip perilaku baru di mana Network Level Authentication kredensial masuk di-cache pada sistem klien, dan pengguna dapat memperoleh kembali akses ke koneksi RDP mereka secara otomatis jika koneksi jaringan mereka terputus. Microsoft mengabaikan kerentanan ini sebagai perilaku yang dimaksudkan, dan dapat dinonaktifkan melalui Kebijakan Grup . [10]
Mulai 1 Juni 2019, tidak ada malware dari kerentanan yang tampaknya diketahui publik; namun, proof of concept (PoC) yang tidak diungkapkan yang mengeksploitasi kerentanan mungkin telah tersedia. [8] [11] [12] [13] Pada 1 Juli 2019, Sophos , sebuah perusahaan keamanan Inggris, melaporkan contoh kerja PoC semacam itu, untuk menekankan kebutuhan mendesak untuk menambal kerentanan. [14] [15] [16] Pada tanggal 22 Juli 2019, rincian lebih lanjut dari eksploitasi konon diungkapkan oleh pembicara konferensi dari sebuah perusahaan keamanan Cina. [17] Pada tanggal 25 Juli 2019, pakar komputer melaporkan bahwa versi komersial dari eksploitasi mungkin telah tersedia. [18] [19] Pada tanggal 31 Juli 2019, pakar komputer melaporkan peningkatan signifikan dalam aktivitas RDP berbahaya dan memperingatkan, berdasarkan riwayat eksploitasi dari kerentanan serupa, bahwa eksploitasi aktif kerentanan BlueKeep di alam liar mungkin akan segera terjadi. [20]
Pada 13 Agustus 2019, kerentanan keamanan BlueKeep terkait, secara kolektif bernama DejaBlue , dilaporkan memengaruhi versi Windows yang lebih baru, termasuk Windows 7 dan semua versi terbaru dari sistem operasi hingga Windows 10 , serta versi Windows yang lebih lama. [3]
Pada 6 September 2019, eksploitasi kerentanan keamanan BlueKeep wormable diumumkan telah dirilis ke ranah publik. [4] Versi awal eksploit ini, bagaimanapun, tidak dapat diandalkan, diketahui menyebabkan kesalahan " layar biru kematian " (BSOD). Perbaikan kemudian diumumkan, menghilangkan penyebab kesalahan BSOD. [21]
Pada 2 November 2019, kampanye peretasan BlueKeep pertama dalam skala massal dilaporkan, dan termasuk misi cryptojacking yang gagal. [22]
Pada 8 November 2019, Microsoft mengkonfirmasi serangan BlueKeep, dan mendesak pengguna untuk segera menambal sistem Windows mereka. [2]
Mekanisme
Protokol RDP menggunakan "saluran virtual", dikonfigurasi sebelum otentikasi, sebagai jalur data antara klien dan server untuk menyediakan ekstensi. RDP 5.1 mendefinisikan 32 saluran virtual "statis", dan saluran virtual "dinamis" terdapat dalam salah satu saluran statis ini. Jika server mengikat saluran virtual "MS_T120" (saluran yang tidak ada alasan sah bagi klien untuk terhubung) dengan saluran statis selain 31, kerusakan heap yang memungkinkan eksekusi kode arbitrer di tingkat sistem. [24]
Windows XP , Windows Vista , Windows 7 , Windows Server 2003 , Windows Server 2008 , dan Windows Server 2008 R2 disebut oleh Microsoft sebagai rentan terhadap serangan ini. Versi yang lebih baru dari 7, seperti Windows 8 dan Windows 10 , tidak terpengaruh. Badan Keamanan Cybersecurity dan Infrastruktur menyatakan bahwa mereka juga berhasil mencapai eksekusi kode melalui kerentanan pada Windows 2000 . [25]
Mitigasi
Microsoft merilis patch untuk kerentanan pada 14 Mei 2019, untuk Windows XP , Windows Vista , Windows 7 , Windows Server 2003 , Windows Server 2008 , dan Windows Server 2008 R2 . Ini termasuk versi Windows yang telah mencapai akhir masa pakainya (seperti Vista, XP, dan Server 2003) dan karenanya tidak lagi memenuhi syarat untuk pembaruan keamanan. [8] Patch memaksa saluran "MS_T120" yang disebutkan di atas untuk selalu terikat ke 31 bahkan jika diminta sebaliknya oleh server RDP. [24]
NSA merekomendasikan tindakan tambahan, seperti menonaktifkan Layanan Desktop Jarak Jauh terkaitnya port ( TCP 3389) jika tidak digunakan, dan memerlukan Otentikasi Tingkat Jaringan (NLA) untuk RDP. [26] Menurut perusahaan keamanan komputer Sophos , otentikasi dua faktor dapat membuat masalah RDP tidak terlalu rentan. Namun, perlindungan terbaik adalah dengan mencabut RDP dari Internet: matikan RDP jika tidak diperlukan dan, jika perlu, buat RDP hanya dapat diakses melalui VPN . [27]
Referensi
- 1. Foley, Mary Jo (2019-05-14). "Microsoft patches Windows XP, Server 2003 to try to head off 'wormable' flaw". ZDNet. Retrieved 2019-06-07.
- 2. Microsoft (May 2019). "Security Update Guide - Acknowledgements, May 2019". Microsoft. Retrieved 2019-06-07.
- 3. Greenberg, Andy (2019-08-13). "DejaBlue: New BlueKeep-Style Bugs Renew The Risk Of A Windows worm". Wired. Retrieved 2019-08-13.
- 4. Goodin, Dan (2019-09-06). "Exploit for wormable BlueKeep Windows bug released into the wild - The Metasploit module isn't as polished as the EternalBlue exploit. Still, it's powerful". Ars Technica. Retrieved 2019-09-06.
- 5. "Customer guidance for CVE-2019-0708 - Remote Desktop Services Remote Code Execution Vulnerability". Microsoft. 2019-05-14. Retrieved 2019-05-29.
- 6. "CVE-2019-0708 Remote Desktop Services Remote Code Execution Vulnerability - Security Vulnerability". Microsoft. 2019-05-14. Retrieved 2019-05-28.
- 7. Cimpanu, Catalin. "Even the NSA is urging Windows users to patch BlueKeep (CVE-2019-0708)". ZDNet. Retrieved 2019-06-20.
- 8. Goodin, Dan (2019-05-31). "Microsoft practically begs Windows users to fix wormable BlueKeep flaw". Ars Technica. Retrieved 2019-05-31.
- 9. Warren, Tom (2019-05-14). "Microsoft warns of major WannaCry-like Windows security exploit, releases XP patches". The Verge. Retrieved 2019-06-20.
- 10. "Microsoft dismisses new Windows RDP 'bug' as a feature". Naked Security. 2019-06-06. Retrieved 2019-06-20.
- 11. Whittaker, Zack (2019-05-31). "Microsoft warns users to patch as exploits for 'wormable' BlueKeep bug appear". TechCrunch. Retrieved 2019-05-31.
- 12. O'Neill, Patrick Howell (2019-05-31). "You Need to Patch Your Older Windows PCs Right Now to Patch a Serious Flaw". Gizmodo. Retrieved 2019-05-31.
- 13. Winder, Davey (2019-06-01). "Microsoft Issues 'Update Now' Warning To Windows Users". Forbes. Retrieved 2019-06-01.
- 14. Palmer, Danny (2019-07-02). "BlueKeep: Researchers show how dangerous this Windows exploit could really be - Researchers develop a proof-of-concept attack after reverse engineering the Microsoft BlueKeep patch". ZDNet. Retrieved 2019-07-02.
- 15. Stockley, Mark (2019-07-01). "RDP BlueKeep exploit shows why you really, really need to patch". NakedSecurity.com. Retrieved 2019-07-01.
- 16. Staff (2019-05-29). "CVE-2019-0708: Remote Desktop Services remote code execution vulnerability (known as BlueKeep) - Technical Support Bulletin". Sophos. Retrieved 2019-07-02.
- 17. Goodin, Dan (2019-07-22). "Chances of destructive BlueKeep exploit rise with new explainer posted online - Slides give the most detailed publicly available technical documentation seen so far". Ars Technica. Retrieved 2019-07-23.
- 18. Cimpanu, Catalin (2019-07-25). "US company selling weaponized BlueKeep exploit - An exploit for a vulnerability that Microsoft feared it may trigger the next WannaCry is now being sold commercially". ZDNet. Retrieved 2019-07-25.
- 19. Franceschi-Bicchieral, Lorenzo (2019-07-26). "Cybersecurity Firm Drops Code for the Incredibly Dangerous Windows 'BlueKeep' Vulnerability - Researchers from U.S. government contractor Immunity have developed a working exploit for the feared Windows bug known as BlueKeep". Vice. Retrieved 2019-07-26.
- 20. Rudis, Bob (2019-07-31). "BlueKeep Exploits May Be Coming: Our Observations and Recommendations". Rapid7.com. Retrieved 2019-08-01.
- 21. Cimpanu, Catalin (2019-11-11). "BlueKeep exploit to get a fix for its BSOD problem". ZDNet.
- 22. Greenberg, Andy (2019-11-02). "The First BlueKeep Mass Hacking Is Finally Here—but Don't Panic - After months of warnings, the first successful attack using Microsoft's BlueKeep vulnerability has arrived—but isn't nearly as bad as it could have been". Wired. Retrieved 2019-11-03.
- 23. "Microsoft works with researchers to detect and protect against new RDP exploits". Microsoft. 2019-11-07. Retrieved 2019-11-09.
- 24. "RDP Stands for 'Really DO Patch!' – Understanding the Wormable RDP Vulnerability CVE-2019-0708". McAfee Blogs. 2019-05-21. Retrieved 2019-06-19.
- 25. Tung, Liam. "Homeland Security: We've tested Windows BlueKeep attack and it works so patch now". ZDNet. Retrieved 2019-06-20.