Publicité en cours de chargement...

Publicité en cours de chargement...

Zerologon : retour sur l’application du correctif de Microsoft

01 déc. 2020 - 09:55,
Tribune - Charles Blanc-Rolin
Vous avez été plusieurs à m’interpeller concernant le correctif publié en août par Microsoft pour la vulnérabilité CVE-2020-1472 (Zerologon) concernant le protocole d’authentification Netlogon. Pour rappel, plusieurs POCs disponibles publiquement permettent d’exploiter la vulnérabilité [1] et certains attaquants comme ceux derrière le rançongiciel Ryuk ne se privent pas pour l’utiliser et compromettre l’ensemble du SI et chiffrer un maximum de données [2]. Cette information est notamment rappelée dans un rapport publié le 30 novembre par le CERT-FR de l’ANSSI [3].

Si certains ont pris le temps de lire le guide de Microsoft relatif à l’application de ce correctif [4], certains l’ont peut-être raté comme cela me l’a été signalé, alors voici une petite séance de rattrapage.

Il est important d’avoir en tête que Microsoft a fait le choix de procéder en deux étapes :

  •  Une mise à jour permettant de forcer l’utilisation d’un canal Netlogon sécurisé, publiée au mois d’août 2020
  • Une activation native imposée de l’utilisation du canal Netlogon sécurisé, qui arrivera dans le correctif du mois de février 2021

Même si je n’ai pas réussi à exploiter la vulnérabilité sur des contrôleurs de domaine ayant reçu le correctif d’août avec différents POCs disponibles publiquement, ainsi que le scanner intégré à la dernière version de Ping Castle, il est vivement conseillé de forcer l’utilisation d’un canal Netlogon sécurisé.
Voici donc, comment procéder.

1. Patcher les contrôleurs de domaine

Avant tout, il est nécessaire d’appliquer le correctif sur l’ensemble des contrôleurs du domaine afin d’éviter d’éventuels problèmes de réplication et de connexion au domaine.

2. Surveiller les connexions non sécurisées

Ensuite, il est important de surveiller si des machines du domaine utilisent une connexion Netlogon vulnérable à l’aide de l’ID 5829 créé spécifiquement pour déceler ce type de problème.

3. Corriger ou créer une liste d’exclusion

Si c’est le cas, il est préférable de comprendre pourquoi et de résoudre le problème. Le problème ne devrait pas se poser pour des machines Windows plus ou moins récentes, pour des systèmes tiers, une investigation sera nécessaire.

S’il n’est pas possible de résoudre le problème pour une machine « exotique », une GPO permet de définir les machines autorisées à se connecter via  un canal Netlogon vulnérable [5].

4. Forcer l’utilisation d’une connexion sécurisée en attendant février

Il est désormais possible d’imposer une connexion sécurisée Netlogon en passant la clé de registre FullSecureChannelProtection à 1 [6].

5. Appliquer le correctif « définitif » en février :

Lorsque le correctif mensuel de sécurité du 9 février 2021 sera appliqué, l’utilisation d’un canal  sécurisé Netlogon sera imposé. La modification de la clé de registre évoquée ci-dessus n’aura plus aucun effet et il ne sera donc pas possible d’utiliser une connexion vulnérable nativement. Il est donc important d’effectuer les tests nécessaires, corriger les éventuels problèmes et ajouter en liste blanche les machines qui devront se connecter de manière non sécurisée.

En espérant que ce billet vous permettra d’anticiper d’éventuels problème liés à cette vulnérabilité.


[1] /article/3897/zerologon-est-il-vraiment-urgent-de-patcher-ses-controleurs-ad.html

[2] /article/3953/ryuk-le-retour-apres-uhs-et-sopra-steria-le-secteur-de-la-sante-en-ligne-de-mire.html

[3] https://www.cert.ssi.gouv.fr/uploads/CERTFR-2020-CTI-011.pdf

[4] https://support.microsoft.com/fr-fr/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc

[5] https://support.microsoft.com/fr-fr/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc#theGroupPolicy

[6] https://support.microsoft.com/fr-fr/help/4557222/how-to-manage-the-changes-in-netlogon-secure-channel-connections-assoc#EnforcementMode

Avez-vous apprécié ce contenu ?

A lire également.

Illustration Tour de France CaRE Domaine 2

Tour de France CaRE Domaine 2

13 sept. 2025 - 16:20,

Communiqué

- Orange Cyberdefense

La cybersécurité n’est plus une option pour les établissements de santé ! Grâce au programme CaRE, vous pouvez bénéficier de subventions pour augmenter votre résilience numérique. Orange Cyberdefense vous invite à son Tour de France autour du Domaine 2 du programme CaRE de mi-septembre à mi-octobre.

Illustration CaRE D2 : renforcer la continuité et la reprise d’activité grâce au test du PCRA

CaRE D2 : renforcer la continuité et la reprise d’activité grâce au test du PCRA

08 sept. 2025 - 11:50,

Tribune

-
Manon DALLEAU

Le mois de juillet 2025 a marqué le lancement de CaRE D2, avec pour objectif de renforcer la stratégie de continuité et de reprise d'activité des établissements de santé, aussi bien sur le plan métier que sur le plan informatique. Au cœur du dispositif : le Plan de Continuité et de Reprise d'Activit...

Illustration Certification des établissements de santé : démarrage du 6ᵉ cycle au 1er septembre 2025

Certification des établissements de santé : démarrage du 6ᵉ cycle au 1er septembre 2025

05 sept. 2025 - 11:39,

Actualité

- DSIH

Depuis le 1er septembre 2025, la Haute Autorité de santé (HAS) a officiellement lancé le sixième cycle de certification (2025-2030) des établissements de santé. Ce dispositif, renouvelé tous les quatre ans, constitue un levier majeur d’évaluation de la qualité et de la sécurité des soins dans les st...

PSSI et Care D2 : suite de la réflexion sur la question de la signature

01 sept. 2025 - 22:56,

Tribune

-
Cédric Cartau

Dans le prolongement du précédent article(1) , intéressons-nous maintenant à un sujet qui déclenche souvent pas mal de débats : qui doit signer la PSSI ? Et d’ailleurs, doit-elle être signée ?

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.