WSUS laat aanvaller besmette Windows-updates verspreiden
Bedrijven en organisaties die hun Windows Server Update Services (WSUS) niet veilig hebben geconfigureerd geven aanvallers de mogelijkheid om het gehele bedrijfsnetwerk van besmette Windows-updates te voorzien. WSUS fungeert als een proxy voor Windows Update. Bedrijven kunnen via WSUS Windows-updates effectief binnen hun lokale netwerk uitrollen.
In plaats van dat alle bedrijfscomputers met de servers van Microsoft verbinding maken om updates te downloaden, wordt dit één keer gedaan door WSUS. De WSUS-server staat in het bedrijfsnetwerk opgesteld en alle aangesloten bedrijfscomputers zullen vervolgens hun Windows-updates via de WSUS-server downloaden. Standaard staat WSUS echter niet ingeschakeld om HTTPS te gebruiken. Een aanvaller die al toegang tot het bedrijfsnetwerk heeft kan hier gebruik van maken om vervolgens andere bedrijfscomputers over te nemen.
Dat hebben onderzoekers Paul Stone en Alex Chapman tijdens de Black Hat conferentie in Las Vegas gedemonstreerd (pdf). Om aanvallen via Windows-updates te voorkomen accepteert Windows alleen updates die door Microsoft zijn gesigneerd. De onderzoekers lieten echter zien dat een aanvaller door Microsoft gesigneerde bestanden kan hergebruiken om kwaadaardige updates te injecteren, waarmee vervolgens willekeurige commando's op de aangevallen computers zijn uit te voeren.
De aanval is volgens Stone en Chapman eenvoudig te voorkomen, namelijk het instellen van SSL. De meeste bedrijven zouden dit ook doen, zo laten ze tegenover SC Magazine weten. Bedrijven die het niet hebben ingesteld lopen echter het risico dat een systeembeheerder in één keer het gehele bedrijfsnetwerk kan compromitteren, aldus de onderzoekers. Naast het inschakelen van SSL door bedrijven die WSUS gebruiken, kan ook Microsoft de beveiliging opschroeven. De softwaregigant zou namelijk een apart certificaat voor het signeren van Windows-updates moeten gebruiken.
"Naast het inschakelen van SSL door bedrijven die WSUS gebruiken, kan ook Microsoft ....." Geen SSL en geen gecontroleerd update uitrol. Wie doet zoiets?
Dat kan hij toch al wel doen. Ik denk eerder dat in dit geval ook de netwerkbeheerder dat kan doen.
Peter
Voor de zekerheid maar uitgezet:
Bijwerken en beveiliging -> Windows update -> Geavanceerde opties -> Kiezen op welke manier updates worden geleverd -> optie uitzetten.
Microsoft dient inderdaad te zorgen dat ze WSUS standaard veilig laten uitrollen dus SSL/TLS standaard aan en mocht men dat niet willen kan het uitgezet worden, al zou ik niet weten waarom. Ze moeten het standaard veilig ontwerpen!
Maar ja laten we eerlijk wezen microsoft is altijd al hopeloos geweest qua security in hun producten.
Microsoft dient inderdaad te zorgen dat ze WSUS standaard veilig laten uitrollen dus SSL/TLS standaard aan en mocht men dat niet willen kan het uitgezet worden, al zou ik niet weten waarom. Ze moeten het standaard veilig ontwerpen!
Maar ja laten we eerlijk wezen microsoft is altijd al hopeloos geweest qua security in hun producten.
Waarschijnlijk is dit omdat niet alle bedrijven die WSUS gebruiken, ook een PKI hebben. Selfsigned certificates is nou eenmaal niet direct common practice (laat staan best practice)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Security consultant
Weet jij alles van security, governance, risk en compliancy en weet je dit te vertalen naar gerichte oplossingen voor onze klanten? Begrijp jij als geen ander zowel de inhoudelijke kant, als de ‘organizational change’ kant van cybersecurity? Dan ben jij wellicht onze nieuwe security consultant!
Digital Forensic Researcher Mobile Device Hacking
Netherlands Forensic Institute (NFI)
As a digital expert in the field of mobile device hacking, you will strengthen the Digital Technology team. Your challenge? Reverse engineer the workings and security of mobile consumer devices.
Privacy Officer / CISO
Denk jij bij het lezen van artikelen in de media die het belang rondom privacy en informatiebeveiliging duiden, het hoeft toch helemaal niet zover te komen als je als organisatie je zaken op orde hebt? Dan zoeken wij jou!
IT Security Officer
Wil jij werken bij een organisatie die het belang van informatiebeveiliging en privacy inziet en zich realiseert dat dit continue aandacht vergt? Als IT Security Officer bij Zaanstad heb je een coördinerende, ondersteunende en adviserende rol op het gebied van informatiebeveiliging. Een veelzijdige en uitdagende functie!
Digital Forensic Researcher
Netherlands Forensic Institute (NFI)
Immerse yourself in research projects covering the analysis, reparation, and accessing of modern integrated circuits at various levels, from packages to components. In addition, contribute to law enforcement in the Netherlands. You will only find that unique combination at the NFI, where you get to work as a digital forensic researcher and examiner.
Functionaris Gegevensbescherming (FG)
Als FG ben je de onafhankelijke toezicht-houder op naleving van de Algemene Verordening Gegevensbescherming (AVG) binnen de gehele TU/e. Je houdt toezicht op de toepassing en naleving van de AVG door de universiteit op diverse domeinen: onderwijs, onderzoek, valorisatie en bedrijfsvoering.