“Bad Neighbor” Kwetsbaarheid CVE-2020-16898

Microsoft heeft op 13 oktober 2020 updates uitgebracht voor verschillende beveiligingsproblemen. Voor het eerst in zeven maanden worden er minder dan 100 CVE’s gepatched. Twee van deze beveiligingsproblemen zijn gerelateerd aan IPv6 en zijn door het securityteam van Microsoft zelf geïdentificeerd.

Het betreft hier de volgende kwetsbaarheden:

CVE-2020-16898 | Windows TCP/IP Remote Code Execution Vulnerability (severity Critical)

CVE-2020-16899 | Windows TCP/IP Denial of Service Vulnerability (severity Important)

Kwetsbaarheden

Beide kwetsbaarheden zijn theoretisch te exploiteren met een (multicast) ICMPv6 Router Advertisement (RA). Routers kondigden normaal gesproken hiermee hun aanwezigheid in het netwerk aan. Dit wordt gebruikt voor het Neighbor Discovery Protocol (NDP). NDP kan ook worden ingezet voor het uitvoeren van netwerk aanvallen waardoor bijvoorbeeld een man-in-the-middle positie verkregen kan worden. In de netwerkinfrastructuur kunnen echter maatregelen worden getroffen om dit te voorkomen.

Volgens informatie van McAfee Advanced Threat Research betreft de DoS kwetsbaarheid een out-of-bounds read waardoor een Blue Screen of Death (BSoD) kan optreden. Hiervoor wordt een RA met een geprepareerde DNS Search List (DNSSL) option gebruikt.

#BadNeighbor is here! This is what we nicknamed the Microsoft Windows critical and wormable RCE vuln, CVE-2020-16898. McAfee ATR has released brief analysis and a Suricata rule for those unable to patch. https://t.co/XaocOyIv1thttps://t.co/Zo8PEKUEkz#atr #badneighbor #mcafee

— Steve Povolny (he/him) (@spovolny) October 13, 2020

De RCE-kwetsbaarheid kan worden geëxploiteerd door een RA te sturen met een geprepareerde Recursive DNS Server (RDNSS) option. Gelukkig zijn er door Microsoft verschillende beveiligingsmaatregelen getroffen (zoals ASLR) waardoor succesvolle exploitatie niet eenvoudig is.

Slecht nieuws

Wormable

Als de aanwezige beveiligingsmaatregelen kunnen worden omzeild, dan bestaat de mogelijkheid dat deze kwetsbaarheid kan worden gebruikt voor de automatische verspreiding van malware zonder gebruikersinteractie.

Workaround

Microsoft heeft naast updates ook workarounds gepubliceerd. Deze kunnen echter problemen veroorzaken in IPv6 netwerken.

Access42 is van mening dat de inzet van maatregelen in de netwerkinfrastructuur (RA snooping) een betere workaround is. Het gebruik hiervan is sowieso aan te bevelen.

Goede nieuws

Aanvalsoppervlak

Een ICMPv6 Router Advertisement hoort niet over het internet te kunnen propageren. Het aanvalsoppervlak is hierdoor enigszins beperkt.