Хакеры массово атакуют SharePoint через критическую уязвимость, похищая ключи аутентификации для долгосрочного контроля над системами

Хакеры массово атакуют SharePoint через критическую уязвимость, похищая ключи аутентификации для долгосрочного контроля над системами. Фото: СС0

Компания Microsoft выпустила исправление ещё в рамках июльского патч-вторника, однако уже 20 июля в открытом доступе появился рабочий эксплойт от исследователя Janggggg, и буквально через несколько часов сеть ловушек watchTowr зафиксировала первые успешные атаки на реальные системы.

Интересно, что ещё 17 июля аналитики из Defused обнаружили недокументированный вектор атаки, связанный с десериализацией, но тогда они не связали его с конкретным CVE-номером.

Главная опасность этой уязвимости заключается не столько в самом факте удалённого выполнения кода, сколько в том, что злоумышленники используют её для кражи так называемых машинных ключей — криптографических секретов, которые SharePoint применяет для генерации токенов аутентификации.

Получив эти ключи, хакеры могут создавать поддельные токены, выдавать себя за легитимных пользователей и получать доступ к документам и сайтам даже после того, как администраторы установят патч.

WatchTowr настоятельно рекомендует не ограничиваться установкой обновлений, а также в обязательном порядке сменить все учётные данные и секреты в скомпрометированной инфраструктуре, поскольку украденные ключи позволяют сохранять контроль над системой долгое время после закрытия самой бреши.