Zerologon CVE-2020-1472 Durchsetzung Active Directory: Warum sie auf so vielen DCs noch fehlt

Zerologon CVE-2020-1472 Durchsetzung Active Directory: Was Es Bedeutet

Zerologon CVE-2020-1472 Durchsetzung Active Directory-Lücken sind der Teil der Behebung dieser Schwachstelle, der immer wieder übersprungen wird, obwohl die Schwachstelle selbst längst bekannt ist. Zerologon ist eine kritische (CVSS 10.0) Elevation-of-Privilege-Schwachstelle im Netlogon Remote Protocol (MS-NRPC), dem Mechanismus, mit dem domänenverbundene Rechner einen sicheren Kanal zu einem Domain Controller aufbauen. Sie wurde von Tom Tervoort bei Secura entdeckt und verantwortungsvoll offengelegt, der das technische Whitepaper im September 2020 veröffentlichte (Secura). Microsofts eigenes Advisory führt sie als Netlogon Elevation of Privilege Vulnerability (MSRC CVE-2020-1472).

Der Grund, warum sich dieser Artikel mehr als drei Jahre nach der Offenlegung noch lohnt, ist nicht der Exploit selbst — es ist die Durchsetzungsphase (Enforcement). Microsoft hat die Zerologon-Fixes in zwei Stufen ausgeliefert, und bei der zweiten Stufe bleiben die meisten Umgebungen unbemerkt stehen: gepatcht, aber nie als durchsetzend bestätigt. Das ist relevant, weil "Zerologon" einen so hohen Wiedererkennungswert hat, dass viele Teams es als gelöstes, historisches Thema behandeln, statt es bei einem routinemäßigen Audit erneut zu prüfen — und es taucht immer wieder zusammen mit den häufigsten Active-Directory-Fehlkonfigurationen auf, die Audits Jahr für Jahr finden.

Wie Zerologon Funktioniert

Die Ursache ist ein kryptografischer Implementierungsfehler in ComputeNetlogonCredential, der Funktion, mit der MS-NRPC während NetrServerAuthenticate3 einen Sitzungsschlüssel ableitet. Netlogon verwendet für diesen Austausch AES-CFB8, aber Microsofts Implementierung setzte den Initialisierungsvektor (IV) auf einen festen Wert von 16 Null-Bytes statt auf einen zufälligen Wert — ein Verstoß gegen die vorgesehene Verwendung von AES-CFB8 (Secura-Whitepaper, via Pwnie Awards).

Dieser Fehler hat eine konkrete, ausnutzbare Konsequenz: Bei etwa 1 von 256 möglichen Schlüsseln erzeugt die Verschlüsselung eines vollständig aus Nullen bestehenden Klartexts mit AES-CFB8 und einem Null-IV einen vollständig aus Nullen bestehenden Chiffretext.

Der Angriffsablauf

Ein nicht authentifizierter Angreifer im Netzwerk kann:

1. Ein Computerkonto (einschließlich des eigenen Kontos des Domain Controllers) im Netlogon-Handshake imitieren.
2. Eine Client-Challenge bestehend aus 8 Null-Bytes senden.
3. Den Handshake wiederholen — im Schnitt etwa 256 Versuche —, bis der Server das Null-Credential akzeptiert.
4. Nach der Authentifizierung NetrServerPasswordSet2 aufrufen, um das Computerkonto-Passwort eines Ziels, einschließlich des DC selbst, auf einen bekannten Wert zurückzusetzen.

Ein Angreifer, der das Computerkonto-Passwort eines Domain Controllers zurückgesetzt hat, kann sich anschließend als dieser DC authentifizieren und mit DCSync jeden Passwort-Hash der Domäne abziehen — vollständige Domänenkompromittierung, nicht authentifiziert, in wenigen Minuten. Keine Zugangsdaten, kein Phishing, keine Malware auf dem Endpunkt — lediglich Netzwerkerreichbarkeit zum Netlogon-Dienst eines Domain Controllers. Unser Begleitartikel zu DCSync und ACL-Missbrauch beschreibt, wie dieser Replikationsmissbrauch aussieht, sobald ein Angreifer über die Rechte verfügt, ihn auszulösen.

Bestätigte Ausnutzung in Freier Wildbahn

CISA hat CVE-2020-1472 in seinen Known Exploited Vulnerabilities-Katalog aufgenommen und die Emergency Directive 20-04 herausgegeben, die alle US-Bundesbehörden anwies, betroffene Domain Controller bis 23:59 Uhr EDT am 21. September 2020 zu patchen oder vom Netz zu nehmen (CISA ED 20-04). CISA bestätigte später die aktive Ausnutzung der Schwachstelle durch staatlich unterstützte Akteure (CISA-Warnung, Oktober 2020), und sie wurde seitdem auch bei Ransomware-Angriffen auf ungepatchte Domain Controller beobachtet. Die Kombination aus maximalem CVSS-Score, keiner Authentifizierungsanforderung und einem öffentlichen Proof-of-Concept ist genau der Grund, warum diese Schwachstellenklasse eine erneute Prüfung verdient und nicht nur ein einmaliges "Patchen und Vergessen".

Warum Durchsetzung Ein Eigenständiges Problem Neben Dem Patchen Ist

Microsoft hat den Fix in zwei Phasen ausgeliefert, und genau diese Aufteilung ist der Grund, warum Durchsetzungslücken Jahre bestehen bleiben, obwohl alle glauben, das Thema sei erledigt.

Phase 1 — Update vom 11. August 2020

Dieser Patch änderte, wie DCs mit anfälligen Netlogon-Verbindungen umgehen, und führte die Registry-Einstellung FullSecureChannelProtection unter HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters ein — die Durchsetzung war jedoch optional. DCs traten in eine "Initial Deployment Phase" ein, in der nicht konforme Geräte protokolliert, aber nicht blockiert wurden, sofern ein Administrator nicht explizit den Registry-Wert setzte oder das Enforcement-GPO ausrollte (Microsoft-Support: Verwalten von Netlogon-Verbindungen über einen sicheren Kanal).

Phase 2 — Update vom 9. Februar 2021

Dieses Update machte den Enforcement-Modus zum Standardverhalten für alle Windows-Domain-Controller, unabhängig von der Registry- oder Gruppenrichtlinien-Einstellung (Tenable: Microsoft schließt Zerologon-Durchsetzung standardmäßig ab).

Die Lücke Der GPO-Ausnahmeliste

Die Lücke, die die meisten Audits heute finden, ist nicht "ungepatchtes Zerologon" — es sind Umgebungen, in denen Legacy- oder Drittanbieter-Geräte (NAS-Systeme, Printserver, ältere Nicht-Windows-Netlogon-Clients) 2021 unter der Durchsetzung ausfielen und ein Administrator sie zur Gruppenrichtlinien-Ausnahmeliste "Domänencontroller: Anfällige Netlogon-Verbindungen über einen sicheren Kanal zulassen" hinzufügte, um den Ausfall zu stoppen. Genau diese Ausnahmeliste ist die Durchsetzungslücke: Sie existiert Jahre später noch immer, ungeprüft, und lässt still denselben anfälligen Handshake zu, den Zerologon missbraucht — begrenzt auf die jeweils ausgenommenen Konten. Ein Domain Controller kann vollständig gepatcht sein und trotzdem diese Lücke per Richtlinie offen haben, weshalb Patch-Level-Reporting allein kein ausreichender Nachweis für Durchsetzung ist.

Erkennung

Netlogon protokolliert auf jedem Domain Controller spezifische Event-IDs für anfällige Secure-Channel-Aktivität. Überwachen Sie diese auf allen DCs, nicht nur auf einem:

(Microsoft-Support: Verwalten von Netlogon-Verbindungen über einen sicheren Kanal)

Die Events Abrufen

Konkret, auf jedem Domain Controller:

# Aktuelle Netlogon-Events zu anfälligen Kanälen aus dem System-Log abrufen
Get-WinEvent -LogName System -FilterXPath "*[System[(EventID=5827 or EventID=5828 or EventID=5829 or EventID=5830 or EventID=5831)]]" -MaxEvents 200 |
    Select-Object TimeCreated, Id, Message |
    Format-Table -AutoSize

# Den Registry-Durchsetzungsstatus direkt bestätigen (informativ auf DCs mit dem Februar-2021-Patch,
# da Durchsetzung dort unabhängig von diesem Wert standardmäßig aktiv ist)
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters" -Name FullSecureChannelProtection -ErrorAction SilentlyContinue

Jedes 5829-, 5830- oder 5831-Event ist ein Signal, das eine Untersuchung wert ist — es identifiziert genau, welches Gerät sich noch auf den anfälligen Handshake stützt und warum, und liefert Ihnen eine konkrete Liste zum Abarbeiten statt einer Richtlinienannahme. Kombinieren Sie das Netlogon-Event-Monitoring mit der breiteren Menge an Active-Directory-Sicherheits-Event-IDs, die bereits in Ihrem SIEM erfasst sein sollten, sowie mit einer umfassenderen Übersicht zu Härtungsprioritäten, damit protokollbasierte Fixes wie dieser nicht als Einzelprojekte behandelt werden, die mit der Zeit aus dem Blick geraten.

Behebung

1. Bestätigen Sie den Patch-Stand auf jedem DC, nicht nur einer Stichprobe. Prüfen Sie, dass jeder Domain Controller mindestens das Update vom 11. August 2020 hat, idealerweise das Kumulativupdate vom 9. Februar 2021 oder neuer, das die Durchsetzung zum Standard macht. Übersehene DCs (einschließlich Read-only-DCs und DCs in weniger sichtbaren Domänen/Forests) sind die häufigste Lücke.
2. Prüfen Sie die GPO "Domänencontroller: Anfällige Netlogon-Verbindungen über einen sicheren Kanal zulassen". Überprüfen Sie jeden Eintrag der Ausnahmeliste. Bestätigen Sie für jedes ausgenommene Gerät, dass es noch existiert, die Ausnahme noch benötigt und kein Hersteller-Firmware-/Software-Update verfügbar ist, das ordentliche Secure-RPC-Unterstützung nachrüstet. Entfernen Sie veraltete Einträge.
3. Überwachen Sie die Events 5829/5830/5831 kontinuierlich, nicht nur während eines einmaligen Rollout-Fensters. Jedes neue Vorkommen bedeutet, dass sich ein Gerät heute noch auf den anfälligen Pfad verlässt.
4. Setzen (oder bestätigen) Sie FullSecureChannelProtection = 1 auf jedem DC, der das Update von Februar 2021 oder später noch nicht erhalten hat, als Übergangskontrolle, während das Patchen abgeschlossen wird.
5. Prüfen Sie nach Infrastrukturänderungen erneut. Neue Domain Controller, DC-Promotions aus Vorlagen/Images sowie Änderungen an Forest-/Domänen-Trusts können alle wieder einen nicht durchgesetzten oder ungepatchten Zustand einführen — verankern Sie dies im Standard-GPO- und DC-Build-Review, nicht nur im initialen Rollout 2020/2021.
6. Behandeln Sie die DCSync-Exposition als nachgelagertes Risiko. Die reale Wirkung von Zerologon ist, dass es einem Angreifer erlaubt, das eigene Kontopasswort eines DC zurückzusetzen und die Passwort-Hashes der Domäne abzuziehen. Die Überprüfung, wer und was bereits legitime, DCSync-fähige Replikationsrechte besitzt, schließt die zweite Hälfte dieses Angriffspfads — siehe unseren Leitfaden zu ACL-Missbrauch und DCSync.

Wie EtcSec Dies Erkennt

Der Check ZEROLOGON_PATCH_ENFORCEMENT von EtcSec markiert Domain Controller, bei denen die Zerologon-Durchsetzung nicht bestätigt werden kann — sei es ein fehlender Patch, eine deaktivierte FullSecureChannelProtection-Einstellung auf einem DC vor Februar 2021, oder eine aktive Netlogon-Ausnahme-GPO —, damit es nicht stillschweigend als "2020 erledigt" angenommen wird. Er wird kombiniert mit DCSYNC_CAPABLE, das Konten und Computerobjekte mit Replikationsrechten markiert, die eine Zerologon-artige Kompromittierung für die vollständige Extraktion von Zugangsdaten ausnutzen könnte. Zusammen bilden die beiden Checks den vollständigen Angriffspfad ab: den initialen, nicht authentifizierten Einstiegspunkt und die privilegierten Replikationsrechte, die daraus eine domänenweite Kompromittierung machen.