Microsoft verwacht misbruik van kritiek 'wormable' Windows TCP/IP-lek
Microsoft verwacht dat aanvallers misbruik zullen maken van een kritieke TCP/IP-kwetsbaarheid in Windows waardoor remote code execution zonder enige interactie van gebruikers mogelijk is. Volgens securitybedrijf ZDI kan via het beveiligingslek een computerworm worden verspreid. De kwetsbaarheid, aangeduid als CVE-2024-38063, laat een ongeauthenticeerde aanvaller willekeurige code op systemen uitvoeren, zonder dat hier enige interactie van gebruikers voor is vereist.
Het versturen van speciaal geprepareerde IPv6-pakketten volstaat. Systemen waarop IPv6 staat uitgeschakeld zijn dan ook niet kwetsbaar, aldus Microsoft. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. "Je kunt IPv6 uitschakelen om misbruik te voorkomen, maar IPv6 staat bijna op alles standaard ingeschakeld", zegt Dustin Childs van ZDI.
Wat de kans op misbruik betreft heeft Microsoft dit als 'more likely' ingeschat. Het techbedrijf kwam gisterenavond met updates voor de kwetsbaarheid, die op de meeste systemen automatisch worden geïnstalleerd. Het probleem was gerapporteerd door een onderzoeker van cybersecuritybedrijf Cyber KunLun.
Waar staat dat dan? In het artikel https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38063 zie ik dat niet.
De mitigation van Microsoft op de CVE is "Systems are not affected if IPv6 is disabled on the target machine." Dus hij zal dan ook wel echt uitmoeten als mitigation enige mogelijkheid is.
Dit is wel een diepgaand onderzoek waard, er zijn nogal wat systemen die dan vatbaar zijn in mitm/piggyback scenario's.
Dit is wel een diepgaand onderzoek waard, er zijn nogal wat systemen die dan vatbaar zijn in mitm/piggyback scenario's.
In ieder geval in Nederland zitten IPv6 systemen meestal achter een statefull firewall die alleen uitgaande connecties toelaat (gelijkwaardig aan NAT bij IPv4) omdt dit een eis is van internetproviders aan router leveranciers en dus op alle "inbegrepen routers" aanwezig is.
Maar of dit relevant is voor dit probleem weten we dus niet.
Ook zou het wel handig zijn om te weten wat voor soort packets je zou moeten filteren op een firewall om dit probleem te voorkomen.
Dan zie je meerdere entries met Link-Local IPv6 Address: fe80:abcd....
In ieder geval in Nederland zitten IPv6 systemen meestal achter een statefull firewall die alleen uitgaande connecties toelaat (gelijkwaardig aan NAT bij IPv4) omdt dit een eis is van internetproviders aan router leveranciers en dus op alle "inbegrepen routers" aanwezig is.
Maar of dit relevant is voor dit probleem weten we dus niet.
Ook zou het wel handig zijn om te weten wat voor soort packets je zou moeten filteren op een firewall om dit probleem te voorkomen.
In ieder geval in Nederland zitten IPv6 systemen meestal achter een statefull firewall die alleen uitgaande connecties toelaat (gelijkwaardig aan NAT bij IPv4) omdt dit een eis is van internetproviders aan router leveranciers en dus op alle "inbegrepen routers" aanwezig is.
Maar of dit relevant is voor dit probleem weten we dus niet.
Ook zou het wel handig zijn om te weten wat voor soort packets je zou moeten filteren op een firewall om dit probleem te voorkomen.
Dan zie je meerdere entries met Link-Local IPv6 Address: fe80:abcd....
Als er qua IPv6 slechts één of meer Link-Local adressen staan, is deze host niet van buiten het eigen lokale netwerk te benaderen. Pas als de beheerder van het LAN de router van IPv6 heeft voorzien, zal de host ook een globaal adres krijgen, waardoor de host in principe een doelwit van deze aanval kan zijn.
Dan zie je meerdere entries met Link-Local IPv6 Address: fe80:abcd....
Als er qua IPv6 slechts één of meer Link-Local adressen staan, is deze host niet van buiten het eigen lokale netwerk te benaderen. Pas als de beheerder van het LAN de router van IPv6 heeft voorzien, zal de host ook een globaal adres krijgen, waardoor de host in principe een doelwit van deze aanval kan zijn.
Dat klopt dus niet.
Als je bijvoorbeeld op een wifi netwerk of ander lokaal netwerk zit en daar zit ook een systeem op waar al malware op zit die op deze manier verspreid wordt (er staat in de aankondiging dat het "Wormable" is!) dan kun je via die link-local adressen door dat systeem besmet worden en het zelf ook weer verspreiden.
In ieder geval in Nederland zitten IPv6 systemen meestal achter een statefull firewall die alleen uitgaande connecties toelaat (gelijkwaardig aan NAT bij IPv4) omdt dit een eis is van internetproviders aan router leveranciers en dus op alle "inbegrepen routers" aanwezig is.
Maar of dit relevant is voor dit probleem weten we dus niet.
Ook zou het wel handig zijn om te weten wat voor soort packets je zou moeten filteren op een firewall om dit probleem te voorkomen.
In ieder geval in Nederland zitten IPv6 systemen meestal achter een statefull firewall die alleen uitgaande connecties toelaat (gelijkwaardig aan NAT bij IPv4) omdt dit een eis is van internetproviders aan router leveranciers en dus op alle "inbegrepen routers" aanwezig is.
Maar of dit relevant is voor dit probleem weten we dus niet.
Ook zou het wel handig zijn om te weten wat voor soort packets je zou moeten filteren op een firewall om dit probleem te voorkomen.
Ja precies dat!
Het vreemde van NAT is dat mensen nu denken dat ze het nodig hebben omdat ze denken dat we niet op een andere manier kunnen firewallen. Dat terwijl er eigenlijk niets goeds over te zeggen is.
In ieder geval in Nederland zitten IPv6 systemen meestal achter een statefull firewall die alleen uitgaande connecties toelaat (gelijkwaardig aan NAT bij IPv4) omdt dit een eis is van internetproviders aan router leveranciers en dus op alle "inbegrepen routers" aanwezig is.
Maar of dit relevant is voor dit probleem weten we dus niet.
Ook zou het wel handig zijn om te weten wat voor soort packets je zou moeten filteren op een firewall om dit probleem te voorkomen.
In ieder geval in Nederland zitten IPv6 systemen meestal achter een statefull firewall die alleen uitgaande connecties toelaat (gelijkwaardig aan NAT bij IPv4) omdt dit een eis is van internetproviders aan router leveranciers en dus op alle "inbegrepen routers" aanwezig is.
Maar of dit relevant is voor dit probleem weten we dus niet.
Ook zou het wel handig zijn om te weten wat voor soort packets je zou moeten filteren op een firewall om dit probleem te voorkomen.
Maar lost wel 95% van de internet aanvallen op.
Ik denk dat ik weet wat het "aanvalspakket" is: een TCP SYN met MSS optie groter dan 1440.
Dat heb ik geblokkeerd op de firewall en geconstateerd dat er mee gescand wordt.
Dus doe er je voordeel mee...
Het is maar een gedachte.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
