ZeroLogon

Définition

ZeroLogon (CVE-2020-1472) est une vulnérabilité critique (CVSS 10.0) dans le protocole Netlogon de Windows Active Directory, permettant à un attaquant non authentifié sur le réseau local de compromettre complètement un contrôleur de domaine en quelques secondes. Découverte par Tom Tervoort de Secura, elle exploite une faiblesse cryptographique dans l'implémentation AES-CFB8. Netlogon (MS-NRPC) est utilisé pour l'authentification des comptes machine dans AD. Le protocole utilise un challenge-response avec AES-CFB8 pour établir un canal sécurisé (Netlogon Secure Channel). La vulnérabilité : AES-CFB8 avec un IV (vecteur d'initialisation) de 16 zéros a une probabilité de 1/256 de produire un ciphertext entièrement nul pour un plaintext nul. En répétant jusqu'à 256 tentatives d'authentification avec un challenge nul, l'attaquant obtient statistiquement une authentification réussie en quelques secondes. Unfois l'accès obtenu, l'attaquant peut utiliser le canal Netlogon pour réinitialiser le mot de passe du compte machine du DC à une chaîne vide, puis effectuer un DCSync avec le compte machine du DC (qui a les permissions de réplication). Cette chaîne d'exploitation donne un accès Domain Admin complet depuis un réseau local sans aucun credential préalable. Le PoC de Secura et l'outil zerologon.py d'impacket ont rendu l'exploitation accessible en quelques commandes : python3 cve-2020-1472-exploit.py DC01 192.168.1.1 suivi d'un secretsdump.py. Des ransomware groups ont exploité ZeroLogon massivement dans les mois suivant la divulgation. Microsoft a corrigé en deux phases : un patch initial en août 2020 ajoutant des contrôles optionnels, et un mode d'enforcement activé en février 2021 bloquant les clients Netlogon vulnérables.