Hakerzy często podejmują próby złamania hasła w celu uzyskania dostępu do zasobów organizacji. Aby pomóc sobie w ochronie, wiele firm wdraża uwierzytelnianie wieloskładnikowe (MFA) – wymagające od użytkowników wykazania dostępu do dodatkowego urządzenia, np. takiego jak telefon, w celu zalogowania się do krytycznych systemów. Słabość protokołu Microsoft ADFS do integracji z produktami MFA umożliwia zastosowanie drugiego uwierzytelnienia dla jednego konta do uwierzytelniania na wszystkich innych kontach w organizacji. Jest to podobne do zamieniania klucza do pokoju na klucz główny dla wszystkich drzwi w budynku – ale w tym budynku każde drzwi ma drugą blokadę, która akceptuje kod dostępu. Exploit znacznie ułatwia atakującemu, który uzyskał ograniczony dostęp w celu rozszerzenia swojego zasięgu.
Po otrzymaniu powiadomienia o usterce i niezależnej weryfikacji jej poprawności, firma Microsoft przygotowała łatę, która go rozwiązała. CVE-2018-8340.
CERT PSE zaleca organizacjom korzystającym z Microsoft ADFS załatanie swoich systemów.
Więcej informacji: https://www.okta.com/security-blog/2018/08/multi-factor-authentication-microsoft-adfs-vulnerability/
+48 22242 1996
+48 571 207 996
cert@pse.pl 
klucz publiczny