Nel recente panorama della sicurezza informatica, una scoperta ha messo in luce una criticità significativa relativa al protocollo NTLMv1 di Microsoft. Nonostante siano state implementate policy di gruppo specifiche per disabilitare NTLMv1 nei sistemi Windows, è emerso che una semplice configurazione errata potrebbe bypassare queste restrizioni. Questo problema riguarda in particolare le applicazioni on-premise, che possono annullare l'efficacia delle policy di gruppo pensate per bloccare le autenticazioni NTLMv1.
NTLM è un meccanismo ancora ampiamente utilizzato negli ambienti Windows per l'autenticazione degli utenti sulla rete. Sebbene questo protocollo legacy non sia stato rimosso per motivi di compatibilità, è stato ufficialmente deprecato nel 2024. Microsoft ha ufficialmente rimosso il supporto per NTLMv1 con l'aggiornamento di Windows 11 versione 24H2 e Windows Server 2025. Tuttavia, il protocollo NTLMv2, progettato per mitigare le vulnerabilità, continua a soffrire di debolezze di sicurezza sfruttate attivamente da attori malevoli per ottenere accesso a dati sensibili.
La ricerca condotta ha rivelato che le applicazioni on-premise possono essere configurate per consentire ancora l'uso di NTLMv1, annullando il livello di autenticazione impostato dalle policy di gruppo nel Gestore LAN di Active Directory. Questo avviene sfruttando una configurazione nel protocollo remoto Netlogon che permette l'autenticazione NTLMv1 anche quando è prevista solo NTLMv2.
Per mitigare i rischi associati a NTLMv1, è essenziale abilitare i log di audit per tutte le autenticazioni NTLM nel dominio e monitorare le applicazioni vulnerabili che richiedono l'uso di messaggi NTLMv1. È fondamentale che le organizzazioni mantengano aggiornati i propri sistemi per proteggersi da queste vulnerabilità.
La scoperta di questa vulnerabilità segue un altro rapporto che evidenzia un comportamento "zero-day" nei file PDF, che potrebbe portare alla fuga di informazioni NTLM locali quando aperti con Adobe Reader o Foxit PDF Reader. Questo sottolinea l'importanza di un costante aggiornamento e monitoraggio delle applicazioni per prevenire potenziali exploit.
