サーバの深刻な欠陥だが、現時点における全ての検出方法を回避しながら悪用する手口を、サイバー・セキュリティ研究者たちが解明している。権限での任意のコード実行を許すものである。2023年4月13日に観測されている。コマンドが実行され、追加のペイロードがドロップされている。エクスプロイトを公開している。ファイルをドロップすることである。サービスと、サーバのログ・ファイルに明確な足跡を残すため、認証バイパスを検出するネットワーク署名のトリガーとなることは言うまでもない。機能を悪用する、新しい方法が発見されたと述べている。Directory/LDAP/カスタム・ソースに基づき、ユーザーとグループの情報を同期できるようになるという。カスタム・ディレクトリ・ソースを選択した場合のユーザーは、ユーザー名とパスワードを検証するためのカスタム認証プログラムを指定できる。興味深いことに、ユーザー・プログラムおよび認証プログラムは、任意の実行可能ファイルであることも可能だが、認証プログラムは本質的に対話型である必要がある。して設定した、認証プログラムに基づくものとなる。その後に、攻撃者による任意のコード実行で必要になるのは、ログイン試行時に悪意のユーザー名とパスワードを入力することだけだ。リモート・サーバにホストされている、カスタム・リバース・シェルをダウンロードすることが可能になる。攻撃する脅威アクターは、任意のコードを実行するための、複数のパスを辿ることができる。特定のコード実行方法に焦点を当てた検出や、脅威アクターが使用するテクニックのサブセットに焦点を当てた検出は、次のラウンドの攻撃を防げない運命にある。攻撃者たちは、防御者が公開した検出結果を学習する。したがって、簡単に回避されない堅牢な検出を作成することが防御者の責任である」と指摘している。悪用の兆候が見え始めてきたようです。エクスプロイトが公開されたとのことで、それを参考にする脅威アクターも増えてくるだろうと推測されます。よろしければ、以下の関連記事も、ご参照ください。