Domänen-Adminrechte ganz ohne Benutzerkonto erreichbar
Domäne ad.admin-soehne.example · Dienstkonto „svc-backup“
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Beschreibung
Ein technisches Konto der Backup-Software hat volle Administratorrechte in der Windows-Domäne und ein kurzes Passwort, das nie abläuft. Eine alte Einstellung an diesem Konto erlaubt jedem Gerät im Firmennetz, eine verschlüsselte Kopie des Passworts abzurufen, ganz ohne Anmeldung. Weil das Passwort schwach ist, ließ sich daraus innerhalb von Stunden das echte Passwort ermitteln.
Reproduktion
- Einen Testlaptop ohne Firmenkonto mit einem Büronetz verbinden.
- Die verschlüsselten Passwortdaten des Dienstkontos abrufen, was die alte Einstellung ohne Anmeldung erlaubt.
- Das Passwort offline ermitteln und mit dem Kunden bestätigen: Es gewährt Domänen-Administratorrechte.
Konto: svc-backup · Mitglied von: Domain Admins
Alte Einstellung: Passwortdaten ohne Anmeldung abrufbar = ja
Passwort zuletzt geändert: vor über 5 Jahren
Offline ermittelt: ja (unter 3 Stunden)Geschäftliche Auswirkung
Ein Gerät an irgendeiner Netzwerkdose im Büro oder ein infizierter PC führt zur vollen Kontrolle über alle Windows-Rechner, Server und E-Mail-Konten, auch über den Backup-Server. Das ist der Weg, auf dem Ransomware-Gruppen eine ganze Firma samt Backups verschlüsseln: wochenlanger Stillstand, und nach NIS2 haftet die Geschäftsleitung persönlich.
Empfehlung
Die alte Einstellung abschalten, das Passwort durch ein langes Zufallspasswort ersetzen oder auf ein verwaltetes Dienstkonto umstellen, das sein Passwort selbst wechselt. Domänen-Admin-Rechte entfernen und nur die für Backups nötigen Rechte vergeben. Alle anderen Konten auf dieselbe Einstellung prüfen und eine Backup-Kopie offline halten.
CWE-521 (Weak Password Requirements) · CWE-250 (Execution with Unnecessary Privileges) · MITRE ATT&CK T1558.004 (AS-REP Roasting), T1078.002 (Domain Accounts)