WhiteHat News #ID:2017
VIP Members
-
20/03/2017
-
113
-
356 bài viết
Patch Tuesday tháng 5 của Microsoft vá 111 lỗ hổng
Microsoft vừa phát hành bản vá an ninh cho 111 lỗ hổng trong bản cập nhật Patch Tuesday tháng 5, bao gồm 16 lỗi được đánh giá là nghiêm trọng và 96 lỗi quan trọng.
Không có lỗ hổng nào đã bị công khai hoặc đang bị khai thác tại thời điểm phát hành.
Ngoài bản vá cho bộ nhớ đệm của hệ điều hành, trình duyệt, Office và SharePoint, Microsoft cũng phát hành bản cập nhật cho .NET Framework, .NET Core, Visual Studio, Power BI, Windows Defender và Microsoft Dynamics.
Lỗ hổng nâng cao đặc quyền
Phần lớn bản vá dành cho các lỗi leo thang đặc quyền có mức độ quan trọng. Có tất cả 56 bản vá lỗi này trong bản cập nhật tháng này, chủ yếu dành cho Windows. Kẻ tấn công, có thể khai thác lỗ hổng sau khi truy cập vào hệ thống để thực thi mã trên hệ thống mục tiêu với đặc quyền leo thang.
Theo chuyên gian Narang của công ty Tenable, ba lỗi sau đây nhiều khả năng có thể bị khai thác: Hai lỗ hổng trong Win32k (CVE-2020-1054, CVE-2020-1143) và một lỗ hổng trong đồ họa của Windows (CVE-2020-1135).
Theo Microsoft, cả hai lỗ hổng trong Win32k bắt nguồn từ việc driver (trình điều khiển) kernel-mode của Windows không xử lý chính xác các đối tượng trong bộ nhớ. Hacker khi khai thác thành công lỗ hổng có thể chạy mã tùy ý trong kernel-mode, từ đó có thể cài đặt các chương trình, xem, thay đổi hoặc xóa dữ liệu hoặc tạo tài khoản mới với quyền người dùng đầy đủ.
Để khai thác lỗ hổng, trước tiên kẻ tấn công phải đăng nhập vào hệ thống, sau đó chạy một ứng dụng đặc biệt để khai thác lỗ hổng và kiểm soát hệ thống bị ảnh hưởng.
Trong khi đó, lỗi leo thang đặc quyền của đồ họa Windows (trong phần lớn Windows 10 và Windows Server) có thể bị hacker lợi dụng để nâng cao đặc quyền trong tiến trình nhằm đánh cắp thông tin xác thực hoặc dữ liệu nhạy cảm, tải xuống phần mềm độc hại hoặc thực thi mã độc.
Ngoài ra, tồn tại một lỗi leo thang đặc quyền nghiêm trọng trong Microsoft Edge (CVE-2020-1056). Theo Microsoft, lỗ hổng bắt nguồn từ việc Edge không thực thi đúng các chính sách tên miền chéo, có thể cho phép kẻ tấn công truy cập thông tin từ một tên miền và inject thông tin vào một tên miền khác. Tuy nhiên, tấn công đòi hỏi phải có sự tương tác của người dùng, như lừa người dùng click vào một liên kết dẫn đến trang web của kẻ tấn công.
Theo kịch bản tấn công, kẻ tấn công có thể lưu trữ (host) một trang web được sử dụng để khai thác lỗ hổng an ninh. Ngoài ra, các trang web bị tấn công và trang web chấp nhận hoặc lưu trữ nội dung do người dùng cung cấp chứa nội dung đặc biệt có thể khai thác lỗ hổng.
Các bản vá nghiêm trọng cần xem xét
Các lỗ hổng đáng chú ý khác bao gồm hai lỗi thực thi mã từ xa (RCE) trong Microsoft Color Management (CVE-2020-1117) và Windows Media Foundation (CVE-2020-1126). Cả hai lỗ hổng đều có thể bị khai thác bằng cách lừa người dùng mở file độc hại đính kèm email hoặc truy cập trang web có chứa mã khai thác.
Theo chuyên gia Narang, khai thác thành công sẽ cho phép kẻ tấn công có được các quyền thao tác trên hệ thống tương tự quyền người dùng hiện tại. Nếu người dùng là quản trị, hacker có thể thực hiện nhiều thao tác như cài đặt chương trình, tạo tài khoản mới với toàn quyền người dùng và xem, thay đổi hoặc xóa dữ liệu.
Các lỗ hổng nghiêm trọng trong Chakra Core, Internet Explorer, EdgeHTML và SharePoint cũng được cập nhật bản vá. Trong đó SharePoint có bốn lỗi nghiêm trọng, tiếp tục là sản phẩm có nhiều lỗi nhất so với tháng trước.
Hầu hết các lỗ hổng nghiêm trọng đều được xử lý bằng cách cập nhật hệ điều hành và trình duyệt, nhưng có bốn lỗ hổng nghiêm trọng trong SharePoint và một trong Visual Studio, chuyên gia an ninh Todd Schell của công ty Ivanti cho biết.
Hai lỗ hổng CVE-2020-1023 và CVE-2020-1102 trên SharePoint là các lỗ hổng RCE có mức độ quan trọng cho phép hacker truy cập hệ thống và đọc hoặc xóa nội dung, thay đổi hoặc chạy trực tiếp mã trên hệ thống.
Điều này không chỉ cho phép kẻ tấn công truy cập nhanh chóng và dễ dàng vào các dữ liệu quan trọng nhất được lưu trữ trong máy chủ SQL của một tổ chức mà còn là nền tảng để thực hiện các cuộc tấn công mới vào các thiết bị khác trong môi trường của tổ chức đó.
Một lỗ hổng khác CVE-202-1024 trong SharePoint cho phép kẻ tấn công thực thi mã tùy ý từ nhóm ứng dụng SharePoint và tài khoản máy chủ SharePoint, có khả năng ảnh hưởng đến tất cả người dùng kết nối và sử dụng nền tảng.
Nếu hacker có thể truy cập vào thành phần quan trọng này, thao tác di chuyển bên trong các hệ thống file được kết nối sẽ khó kiểm soát. Vì số người sử dụng Microsoft SharePoint để làm việc từ xa đang tăng lên, cần nhanh chóng vá lỗ hổng nghiêm trọng này để đảm bảo truy cập vào mạng và dữ liệu của công ty.
Đối với Visual Studio, những người dùng của Studio Code Python Extension cần lưu ý đến hai bản vá được phát hành trong tháng này. Cả hai đều là lỗ hổng RCE. Lỗ hổng CVE-2020-1192 được đánh giá là nghiêm trọng trong khi lỗi CVE-2020-1171 còn lại ở mức độ quan trọng. Theo chuyên gia Childs, không có dấu hiệu nào cho thấy lỗi này nghiêm trọng hơn lỗi kia và người dùng nên xem cả hai là nghiêm trọng.
Các lỗi khác cần chú ý
Quản trị viên cũng nên chú ý đến một số lỗ hổng khác, như hai lỗ hổng VBScript (CVE-2020-1060 và CVE-2020-1058).
Cả hai lỗ hổng có thể cho phép kẻ tấn công có được quyền giống như người dùng hiện tại.
Theo ông Chris Hass, giám đốc nghiên cứu và bảo mật thông tin của công ty Automox dù cả hai lỗ hổng CVE-2020-1058 và CVE-2020-1060 đều không được đánh giá là nghiêm trọng, rất có thể sẽ bị hacker khai thác trên thực tế. Cả hai lỗ hổng đều ảnh hưởng đến VBScript và cách thức công cụ kịch bản này xử lý các đối tượng trong bộ nhớ. Do tính linh hoạt của VBScript trong Windows, có rất nhiều phương thức tấn công có thể bị hacker lợi dụng để khai thác.
Ví dụ, kẻ tấn công có thể lưu trữ một trang web độc hại với payload đặc biệt để khai thác bất kỳ người dùng nào truy cập trang bằng Internet Explorer, inject mã vào trang web bị xâm nhập hoặc thậm chí khởi chạy một chiến dịch quảng cáo độc hại để phục vụ payload thông qua các quảng cáo độc hại trên các trang web phổ biến.
Ngoài ra, còn có một lỗ hổng từ chối dịch vụ (CVE-2020-1118) trong Microsoft Windows Transport Layer Security. Lỗ hổng cho phép kẻ tấn công từ xa khởi động lại để tấn công từ chối dịch vụ.
Phân tích về lỗ hổng an ninh của con trỏ NULL trong quá trình thực thi Windows của giao thức Diffie-Hellman, chuyên gia Childs cho biết kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi tin nhắn Client Key Exchange độc hại trong quá trình handshake TLS. Lỗ hổng ảnh hưởng đến cả máy khách và máy chủ TLS, do đó, kẻ tấn công có thể làm sập bất kỳ hệ thống nào.
Chuyên gia Melick cũng cho biết lỗi nghiêm trọng trong Visual Studio Code, bắt nguồn từ cách thức tiện ích mở rộng Python tải cài đặt từ file ghi chép, nên là ưu tiên hàng đầu, vì đây là một trong những công cụ môi trường phổ biến nhất dành cho nhà phát triển.
Đây là công cụ chiếm hơn 50% thị phần các công cụ dành cho nhà phát triển, hacker có rất nhiều mục tiêu tiềm năng và nếu thành công, sẽ có khả năng kiểm soát máy nạn nhân như người dùng hiện tại. Theo chuyên gia Melick, một khi giành được quyền truy cập, hacker có thể đánh cắp thông tin quan trọng như mã nguồn, chèn mã độc hoặc cài backdoor vào các dự án hiện tại và cài đặt, sửa đổi hoặc xóa dữ liệu. Do tầm quan trọng và tính phổ biến của Visual Studio Code, các tổ chức cần cập nhật bản vá này trong vòng 24 giờ trước khi lỗ hổng có thể bị khai thác.
Đây là tháng thứ 3 liên tiếp Microsoft phát hành bản vá cho hơn 110 lỗ hổng.
Ngoài bản vá cho bộ nhớ đệm của hệ điều hành, trình duyệt, Office và SharePoint, Microsoft cũng phát hành bản cập nhật cho .NET Framework, .NET Core, Visual Studio, Power BI, Windows Defender và Microsoft Dynamics.
Lỗ hổng nâng cao đặc quyền
Phần lớn bản vá dành cho các lỗi leo thang đặc quyền có mức độ quan trọng. Có tất cả 56 bản vá lỗi này trong bản cập nhật tháng này, chủ yếu dành cho Windows. Kẻ tấn công, có thể khai thác lỗ hổng sau khi truy cập vào hệ thống để thực thi mã trên hệ thống mục tiêu với đặc quyền leo thang.
Theo chuyên gian Narang của công ty Tenable, ba lỗi sau đây nhiều khả năng có thể bị khai thác: Hai lỗ hổng trong Win32k (CVE-2020-1054, CVE-2020-1143) và một lỗ hổng trong đồ họa của Windows (CVE-2020-1135).
Theo Microsoft, cả hai lỗ hổng trong Win32k bắt nguồn từ việc driver (trình điều khiển) kernel-mode của Windows không xử lý chính xác các đối tượng trong bộ nhớ. Hacker khi khai thác thành công lỗ hổng có thể chạy mã tùy ý trong kernel-mode, từ đó có thể cài đặt các chương trình, xem, thay đổi hoặc xóa dữ liệu hoặc tạo tài khoản mới với quyền người dùng đầy đủ.
Để khai thác lỗ hổng, trước tiên kẻ tấn công phải đăng nhập vào hệ thống, sau đó chạy một ứng dụng đặc biệt để khai thác lỗ hổng và kiểm soát hệ thống bị ảnh hưởng.
Trong khi đó, lỗi leo thang đặc quyền của đồ họa Windows (trong phần lớn Windows 10 và Windows Server) có thể bị hacker lợi dụng để nâng cao đặc quyền trong tiến trình nhằm đánh cắp thông tin xác thực hoặc dữ liệu nhạy cảm, tải xuống phần mềm độc hại hoặc thực thi mã độc.
Ngoài ra, tồn tại một lỗi leo thang đặc quyền nghiêm trọng trong Microsoft Edge (CVE-2020-1056). Theo Microsoft, lỗ hổng bắt nguồn từ việc Edge không thực thi đúng các chính sách tên miền chéo, có thể cho phép kẻ tấn công truy cập thông tin từ một tên miền và inject thông tin vào một tên miền khác. Tuy nhiên, tấn công đòi hỏi phải có sự tương tác của người dùng, như lừa người dùng click vào một liên kết dẫn đến trang web của kẻ tấn công.
Theo kịch bản tấn công, kẻ tấn công có thể lưu trữ (host) một trang web được sử dụng để khai thác lỗ hổng an ninh. Ngoài ra, các trang web bị tấn công và trang web chấp nhận hoặc lưu trữ nội dung do người dùng cung cấp chứa nội dung đặc biệt có thể khai thác lỗ hổng.
Các bản vá nghiêm trọng cần xem xét
Các lỗ hổng đáng chú ý khác bao gồm hai lỗi thực thi mã từ xa (RCE) trong Microsoft Color Management (CVE-2020-1117) và Windows Media Foundation (CVE-2020-1126). Cả hai lỗ hổng đều có thể bị khai thác bằng cách lừa người dùng mở file độc hại đính kèm email hoặc truy cập trang web có chứa mã khai thác.
Theo chuyên gia Narang, khai thác thành công sẽ cho phép kẻ tấn công có được các quyền thao tác trên hệ thống tương tự quyền người dùng hiện tại. Nếu người dùng là quản trị, hacker có thể thực hiện nhiều thao tác như cài đặt chương trình, tạo tài khoản mới với toàn quyền người dùng và xem, thay đổi hoặc xóa dữ liệu.
Các lỗ hổng nghiêm trọng trong Chakra Core, Internet Explorer, EdgeHTML và SharePoint cũng được cập nhật bản vá. Trong đó SharePoint có bốn lỗi nghiêm trọng, tiếp tục là sản phẩm có nhiều lỗi nhất so với tháng trước.
Hầu hết các lỗ hổng nghiêm trọng đều được xử lý bằng cách cập nhật hệ điều hành và trình duyệt, nhưng có bốn lỗ hổng nghiêm trọng trong SharePoint và một trong Visual Studio, chuyên gia an ninh Todd Schell của công ty Ivanti cho biết.
Hai lỗ hổng CVE-2020-1023 và CVE-2020-1102 trên SharePoint là các lỗ hổng RCE có mức độ quan trọng cho phép hacker truy cập hệ thống và đọc hoặc xóa nội dung, thay đổi hoặc chạy trực tiếp mã trên hệ thống.
Điều này không chỉ cho phép kẻ tấn công truy cập nhanh chóng và dễ dàng vào các dữ liệu quan trọng nhất được lưu trữ trong máy chủ SQL của một tổ chức mà còn là nền tảng để thực hiện các cuộc tấn công mới vào các thiết bị khác trong môi trường của tổ chức đó.
Một lỗ hổng khác CVE-202-1024 trong SharePoint cho phép kẻ tấn công thực thi mã tùy ý từ nhóm ứng dụng SharePoint và tài khoản máy chủ SharePoint, có khả năng ảnh hưởng đến tất cả người dùng kết nối và sử dụng nền tảng.
Nếu hacker có thể truy cập vào thành phần quan trọng này, thao tác di chuyển bên trong các hệ thống file được kết nối sẽ khó kiểm soát. Vì số người sử dụng Microsoft SharePoint để làm việc từ xa đang tăng lên, cần nhanh chóng vá lỗ hổng nghiêm trọng này để đảm bảo truy cập vào mạng và dữ liệu của công ty.
Đối với Visual Studio, những người dùng của Studio Code Python Extension cần lưu ý đến hai bản vá được phát hành trong tháng này. Cả hai đều là lỗ hổng RCE. Lỗ hổng CVE-2020-1192 được đánh giá là nghiêm trọng trong khi lỗi CVE-2020-1171 còn lại ở mức độ quan trọng. Theo chuyên gia Childs, không có dấu hiệu nào cho thấy lỗi này nghiêm trọng hơn lỗi kia và người dùng nên xem cả hai là nghiêm trọng.
Các lỗi khác cần chú ý
Quản trị viên cũng nên chú ý đến một số lỗ hổng khác, như hai lỗ hổng VBScript (CVE-2020-1060 và CVE-2020-1058).
Cả hai lỗ hổng có thể cho phép kẻ tấn công có được quyền giống như người dùng hiện tại.
Theo ông Chris Hass, giám đốc nghiên cứu và bảo mật thông tin của công ty Automox dù cả hai lỗ hổng CVE-2020-1058 và CVE-2020-1060 đều không được đánh giá là nghiêm trọng, rất có thể sẽ bị hacker khai thác trên thực tế. Cả hai lỗ hổng đều ảnh hưởng đến VBScript và cách thức công cụ kịch bản này xử lý các đối tượng trong bộ nhớ. Do tính linh hoạt của VBScript trong Windows, có rất nhiều phương thức tấn công có thể bị hacker lợi dụng để khai thác.
Ví dụ, kẻ tấn công có thể lưu trữ một trang web độc hại với payload đặc biệt để khai thác bất kỳ người dùng nào truy cập trang bằng Internet Explorer, inject mã vào trang web bị xâm nhập hoặc thậm chí khởi chạy một chiến dịch quảng cáo độc hại để phục vụ payload thông qua các quảng cáo độc hại trên các trang web phổ biến.
Ngoài ra, còn có một lỗ hổng từ chối dịch vụ (CVE-2020-1118) trong Microsoft Windows Transport Layer Security. Lỗ hổng cho phép kẻ tấn công từ xa khởi động lại để tấn công từ chối dịch vụ.
Phân tích về lỗ hổng an ninh của con trỏ NULL trong quá trình thực thi Windows của giao thức Diffie-Hellman, chuyên gia Childs cho biết kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi tin nhắn Client Key Exchange độc hại trong quá trình handshake TLS. Lỗ hổng ảnh hưởng đến cả máy khách và máy chủ TLS, do đó, kẻ tấn công có thể làm sập bất kỳ hệ thống nào.
Chuyên gia Melick cũng cho biết lỗi nghiêm trọng trong Visual Studio Code, bắt nguồn từ cách thức tiện ích mở rộng Python tải cài đặt từ file ghi chép, nên là ưu tiên hàng đầu, vì đây là một trong những công cụ môi trường phổ biến nhất dành cho nhà phát triển.
Đây là công cụ chiếm hơn 50% thị phần các công cụ dành cho nhà phát triển, hacker có rất nhiều mục tiêu tiềm năng và nếu thành công, sẽ có khả năng kiểm soát máy nạn nhân như người dùng hiện tại. Theo chuyên gia Melick, một khi giành được quyền truy cập, hacker có thể đánh cắp thông tin quan trọng như mã nguồn, chèn mã độc hoặc cài backdoor vào các dự án hiện tại và cài đặt, sửa đổi hoặc xóa dữ liệu. Do tầm quan trọng và tính phổ biến của Visual Studio Code, các tổ chức cần cập nhật bản vá này trong vòng 24 giờ trước khi lỗ hổng có thể bị khai thác.
Đây là tháng thứ 3 liên tiếp Microsoft phát hành bản vá cho hơn 110 lỗ hổng.
Theo Threadpost