1. Een nieuwe aanvalsketen is ontdekt die kwaadwillenden in staat stelt Windows Server Update Services (WSUS), de architectuur voor patchbeheer, te kapen.
2. WSUS-implementaties in ondernemingen scheiden vaak de updatebeheerserver van de backendopslag en plaatsen de SUSDB-database op een standalone Microsoft SQL Server-instantie, in plaats van gebruik te maken van de standaard Windows Internal Database. Organisaties die WSUS hosten op een externe SQL Server database lopen een operationeel risico.
3. Deze architectuur creëert een kwetsbaarheid wanneer deze wordt gecombineerd met NTLM-authenticatiecoercie.
4. Aanvallers met toegang tot het lokale netwerk kunnen authenticatie afdwingen, een databasesessie vastleggen en malafide "updates" creëren die automatisch worden vertrouwd en uitgevoerd door werkstations die lid zijn van het domein.
5. Met tools zoals PetitPotam kan een aanvaller het computeraccount van de WSUS-server dwingen te authenticeren via SMB naar een host die door de aanvaller wordt gecontroleerd.
6. De aanvaller stuurt vervolgens deze authenticatie direct door naar de externe SQL Server-database met behulp van Ntlmrelayx.
7. Het WSUS-computeraccount heeft permissies om een sessie op te zetten op de SUSDB-instantie, wat de aanvaller een geauthenticeerde database-toegang verschaft zonder dat geldige domeingebruikersreferenties nodig zijn.
8. Het verkrijgen van database-toegang via NTLM-relay plaatst de aanvaller in de beperkte rol "webService", die geen directe SELECT-, UPDATE- of DELETE-permissies heeft op kern-tabellen.
9. Onderzoekers hebben echter ontdekt dat de permissies om specifieke stored procedures uit te voeren, voldoende controle bieden om de update-workflow te wapeniseren.
10. Door systematisch native SQL stored procedures te combineren, zoals spImportUpdate, spSaveXmlFragment, spSetBatchURL, spCreateTargetGroup en spDeployUpdate, kan een aanvaller een compleet Windows-updatepakket creëren met willekeurige metadata, bestands-hashes en uitvoeringsinstructies. Met deze reeks stored procedures kan een aanvaller geldige update-metadata rechtstreeks in de database samenstellen.
11. De database interpreteert deze commando's als afkomstig van het vertrouwde WSUS-computeraccount, waardoor de vervalste updates interne validatie doorstaan en worden verzonden naar gerichte eindpuntgroepen.
12. Onder normale omstandigheden vereist WSUS dat alle geleverde binaire bestanden een geldige digitale handtekening hebben van een vertrouwde Microsoft-certificaat, en payloads uitsluitend worden gedownload via het Background Intelligent Transfer Service (BITS) protocol.
13. Onderzoekers hebben de bibliotheek Microsoft.UpdateServices.ContentSyncAgent.dll achterhaald en een logische fout ontdekt in de routine voor bestandsverificatie.
14. Een aanvaller kan een uitvoerbare payload hernoemen naar een naam zoals Ghost.txt, deze hosten op een BITS-compatibele webserver en WSUS triggeren om de niet-geverifieerde binaire code te downloaden en uit te voeren op doel-endpoints.
15. Deze fout faciliteert ongeauthenticeerde code-uitvoering op clientmachines.
16. Als de Groepsbeleid van de doelomgeving is geconfigureerd om automatisch updates te downloaden en te plannen voor installatie, wordt de payload zonder gebruikersinteractie geïmplementeerd.
17. Indien het payloadproces wordt beëindigd, wordt de malafide update automatisch opnieuw uitgevoerd, waardoor een persistente toegang op de getroffen host wordt gevestigd.