Windowsの「リモート デスクトップ接続」のパスワードがメモリに平文保存 ～一部のセキュリティ研究者の間で指摘 - 窓の杜

kuncikn.blogspot.com

この問題について論じたブログ

　Windowsの「リモート デスクトップ接続」（RDP）の認証情報がメモリに平文保存される問題が、一部のセキュリティ研究者の間で指摘されている。

Umm- why can I find the password I used to connect to a remote desktop service in cleartext in memory of RDP service?

First saw my microsoft accounts pwd- made new local account- same thing.

For this user its: wtfmsnotcoolpic.twitter.com/lRMhDCMJkH

— Jonas L (@jonasLyk)May 14, 2021

　古いWindowsでは「WDigest」と呼ばれる認証をサポートするため、復号されたパスワードがアクセス権を管理する「lsass.exe」のメモリに平文保存されていることがあった。しかし、セキュリティへの懸念から、最近のWindows（Windows 8.1世代以降）ではWDigest認証が初期状態で無効化されており、基本的にメモリ上でパスワードが平文保存されることはないという（とはいえ、WDigest認証自体は現行のOSでもまだサポートされているので、システム権限を奪われるようなことがあれば、有効化されてしまう可能性はある）。

　今回問題とされているのは、RDP経由でシステムに接続する際に用いられたパスワードが、「lsass.exe」ではなくサービスホストプロセス（svchost.exe）のメモリで復号された状態で見つかったことだ。メモリからパスワードをダンプするツールを検知する既存のセキュリティシステムは「svchost.exe」から平文パスワードが得られることを想定していない可能性があり、防御を迂回されてしまう恐れがある。

So#mimikatzwanted passwords, and Terminal Server has some for us🥝

Cleartext passwords *decrypted* on a fully, up to date Windows 2019 Server
No library, no previous code injection, and doesn't use junk part of memory😉

Ping@jonasLyk, still in testing ... 🤪pic.twitter.com/F2ALmSSRyd

— 🥝 Benjamin Delpy (@gentilkiwi)May 16, 2021

　平文パスワードが得られてしまう条件などについてはいまのところ不明で、今のところこの問題単体ではそれほど脅威にならないとみられる。メモリからパスワードを得るには、ローカル環境で解析ツールを駆使する必要もある。しかし、解析手法が洗練されたり、他の脆弱性や攻撃ツールとの組み合わせ次第では深刻となりうる。ベンダーによるできるだけ早い対応・対策に期待したい。

Adblock test (Why?)

からの記事と詳細 ( Windowsの「リモート デスクトップ接続」のパスワードがメモリに平文保存 ～一部のセキュリティ研究者の間で指摘 - 窓の杜 )
https://ift.tt/3wlFwFD