Специалисты по кибербезопасности обнаружили серьёзную дыру в старом Microsoft Telnet Server: теперь злоумышленники могут полностью обойти аутентификацию и получить права администратора без ввода пароля.
О проблеме сообщил исследователь под ником Hacker Fantastic, и ситуация действительно тревожная.
Ошибка кроется в том, как Telnet-сервер обрабатывает процесс аутентификации через NTLM. Вместо того чтобы проверять пользователя, сервер сам «доверяет» клиенту. Всё из-за неправильной инициализации настроек безопасности (SSPI-флагов) во время хендшейка.
Какие системы под угрозой?
- Windows 2000
- Windows XP
- Windows Server 2003
- Windows Vista
- Windows Server 2008
- Windows 7
- Windows Server 2008 R2
То есть пострадали почти все старые версии Windows, где ещё мог остаться активным Telnet Server.
Как работает атака? Выпущенный PoC-эксплойт (telnetbypass.exe) делает следующее:
- Запрашивает взаимную аутентификацию с определёнными флагами.
- Использует пустой пароль для учётки администратора.
- Манипулирует настройками SSPI, чтобы сервер сам себя «обманул».
- Отправляет изменённое NTLM-сообщение типа 3 и получает доступ.
Результат: полный обход аутентификации и доступ к командной строке под админом.
Есть ли патч? К сожалению, пока нет. Поэтому пользователям советуют срочно:
- Отключить Telnet Server на всех системах.
- Перейти на более безопасные протоколы типа SSH.
- Ограничить доступ к Telnet на уровне сети (разрешать только доверенным IP).
- Блокировать Telnet через политики контроля приложений.
Чтобы снизить риск массовых атак, исходный код эксплойта пока не выложили в открытый доступ. Но бинарник PoC уже доступен, так что меры защиты лучше принять как можно быстрее.
