Named pipes zijn een van de meest gebruikte, maar minst zichtbare communicatiemechanismen binnen Windows: ze verbinden services, desktoptoepassingen en achtergrondprocessen met elkaar op dezelfde machine. Juist omdat ze als “intern” worden beschouwd, krijgen ze vaak minder aandacht bij het beveiligen van een systeem, terwijl ze in de praktijk toegankelijk zijn voor meerdere processen met uiteenlopende rechtenniveaus, schrijft beveiligingsbedrijf ThreatLocker in een analyse.
Er zijn verschillende manieren waarop named pipes misbruikt kunnen worden. Bij privilege escalation doet een onbevoegd proces zich voor als de verwachte client, om zo een service met LocalSystem-rechten te misleiden tot het uitvoeren van acties namens de aanvaller. Bij pipe-spoofing maakt een aanvaller alvast een named pipe aan vóórdat de legitieme service opstart, zodat clients zich zonder het te weten met het valse eindpunt verbinden in plaats van met de echte dienst. Een derde categorie is de confused-deputy-aanval, waarbij een legitieme, bevoorrechte applicatie wordt misleid om beveiligde operaties uit te voeren via gemanipuleerde bestandspaden of registerwaarden. Ten slotte is denial-of-service mogelijk: herhaalde verbindingspogingen, half verzonden berichten of oversized payloads kunnen de resources van een server uitputten.
ThreatLocker beschrijft vier verdedigingslinies die deze risico’s beperken. Eindpuntverificatie draait om het controleren van de Windows-identiteit en het peer-process-ID van de partij die verbinding maakt, plus validatie van het uitvoerbare pad en de digitale handtekening. Command authorization betekent dat elk binnenkomend commando afzonderlijk wordt geautoriseerd, los van de vraag of een verbinding al tot stand is gekomen, en dat toegang zo smal mogelijk wordt gescoped in plaats van generieke bestands- of registertoegang te verlenen. Strikte inputvalidatie controleert berichtgrootte, velden en waarden vooraf, en wijst onverwachte formaten meteen af. En scoped privileges houden in dat impersonatie alleen wordt toegepast voor de specifieke operatie van een client, met een pipe-gateway die zelf zo min mogelijk rechten heeft en waarbij validatie strikt gescheiden blijft van de daadwerkelijke, bevoorrechte uitvoering.
Voor beheerders van Windows-omgevingen is de kernboodschap dat named pipes niet automatisch “intern en dus veilig” zijn. Wie zelf software bouwt of beheert die met named pipes werkt — denk aan endpoint-agents, backupsoftware of interne beheertools — doet er goed aan de bovenstaande vier controles langs de eigen implementatie te leggen, in plaats van te vertrouwen op het feit dat het verkeer het systeem nooit verlaat.
Bron: BleepingComputer
Blijf op de hoogte
Volg CybersecurityNieuws.nl via RSS en mis geen enkel beveiligingsnieuws. Zelf iets gezien dat wij moeten weten? Tip de redactie.