Krytyczna luka w Kerberosie

Kilka godzin temu Microsoft wypuścił aktualizację opisaną jako „krytyczna” (CVE-2014-6324). Rzadko zdarza się, by taką klasyfikację dostały błędy pozwalające na podniesienie uprawnień. Ten jednak jest dość wyjątkowy – pozwala dowolnemu użytkownikowi domenowemu na uzyskanie dowolnych uprawnień, w tym administratora domenowego, dzięki błędom w obsłudze Kerberosa na serwerze kontrolera domeny. Co ciekawe nie jest to żaden wyrafinowany technicznie atak, a wykorzystanie błędu logiki procesu nadawania uprawnień. Podatne są wszystkie wersje serwerowe, a sam błąd jest wykorzystywany w aktywnych atakach. Łatajcie swoje kontrolery.