WhiteHat News #ID:2112
VIP Members
-
16/06/2015
-
83
-
672 bài viết
Windows tồn tại lỗi cho phép vượt qua màn hình khóa trong các phiên Remote Desktop
Chi tiết về lỗ hổng mới chưa được vá trong Microsoft Windows Remote Desktop Protocol (RDP) vừa được công bố. Lỗ hổng này, CVE-2019-9510, có thể cho phép kẻ tấn công phía máy khách vượt qua màn hình khóa trong các phiên remote desktop (RD).
Được phát hiện bởi Joe Tammariello của Đại học Carnegie Mellon (SEI), lỗ hổng tồn tại khi tính năng Microsoft Windows Remote Desktop yêu cầu máy khách xác thực bằng Network Level Authentication (NLA), một tính năng mà gần đây Microsoft đề xuất để chống lại lỗ hổng BlueKeep RDP.
Theo Will Dormann, một nhà phân tích lỗ hổng tại CERT/CC, nếu một sự cố mạng kích hoạt ngắt kết nối RDP tạm thời trong khi máy khách đã được kết nối với máy chủ nhưng màn hình đăng nhập bị khóa, thì “khi kết nối lại, phiên RDP sẽ khôi phục trạng thái mở khóa, bất kể hệ thống từ xa như thế nào”.
CERT mô tả kịch bản tấn công như sau:
• Người dùng mục tiêu kết nối với hệ thống Windows 10 hoặc Server 2019 thông qua RDS.
• Người dùng khóa phiên làm việc từ xa và không chú ý đến thiết bị nữa.
• Tại thời điểm này, kẻ tấn công có quyền truy cập vào thiết bị máy khách có thể làm gián đoạn kết nối mạng và có quyền truy cập vào hệ thống từ xa mà không cần bất kỳ thông tin xác thực.
Điều này có nghĩa là việc khai thác rất đơn giản, vì kẻ tấn công chỉ cần làm gián đoạn kết nối mạng của hệ thống mục tiêu.
Tuy nhiên, vì kẻ tấn công cần có truy cập vật lý vào một hệ thống mục tiêu như vậy (tức là, một phiên hoạt động với màn hình bị khóa), bản thân kịch bản hạn chế khả năng tấn công ở mức độ lớn hơn.
Tammariello đã thông báo cho Microsoft về lỗ hổng này vào ngày 19 tháng 4, nhưng được phản hồi rằng “hành vi không đáp ứng tiêu chí về an ninh của Microsoft”, có nghĩa là gã khổng lồ công nghệ không có kế hoạch khắc phục sự cố.
Tuy nhiên, người dùng có thể tự bảo vệ mình trước khả năng bị khai thác qua lỗ hổng này bằng cách khóa hệ thống cục bộ thay vì hệ thống từ xa và ngắt kết nối các phiên remote desktop thay vì chỉ khóa chúng.
Được phát hiện bởi Joe Tammariello của Đại học Carnegie Mellon (SEI), lỗ hổng tồn tại khi tính năng Microsoft Windows Remote Desktop yêu cầu máy khách xác thực bằng Network Level Authentication (NLA), một tính năng mà gần đây Microsoft đề xuất để chống lại lỗ hổng BlueKeep RDP.
Theo Will Dormann, một nhà phân tích lỗ hổng tại CERT/CC, nếu một sự cố mạng kích hoạt ngắt kết nối RDP tạm thời trong khi máy khách đã được kết nối với máy chủ nhưng màn hình đăng nhập bị khóa, thì “khi kết nối lại, phiên RDP sẽ khôi phục trạng thái mở khóa, bất kể hệ thống từ xa như thế nào”.
CERT mô tả kịch bản tấn công như sau:
• Người dùng mục tiêu kết nối với hệ thống Windows 10 hoặc Server 2019 thông qua RDS.
• Người dùng khóa phiên làm việc từ xa và không chú ý đến thiết bị nữa.
• Tại thời điểm này, kẻ tấn công có quyền truy cập vào thiết bị máy khách có thể làm gián đoạn kết nối mạng và có quyền truy cập vào hệ thống từ xa mà không cần bất kỳ thông tin xác thực.
Điều này có nghĩa là việc khai thác rất đơn giản, vì kẻ tấn công chỉ cần làm gián đoạn kết nối mạng của hệ thống mục tiêu.
Tuy nhiên, vì kẻ tấn công cần có truy cập vật lý vào một hệ thống mục tiêu như vậy (tức là, một phiên hoạt động với màn hình bị khóa), bản thân kịch bản hạn chế khả năng tấn công ở mức độ lớn hơn.
Tammariello đã thông báo cho Microsoft về lỗ hổng này vào ngày 19 tháng 4, nhưng được phản hồi rằng “hành vi không đáp ứng tiêu chí về an ninh của Microsoft”, có nghĩa là gã khổng lồ công nghệ không có kế hoạch khắc phục sự cố.
Tuy nhiên, người dùng có thể tự bảo vệ mình trước khả năng bị khai thác qua lỗ hổng này bằng cách khóa hệ thống cục bộ thay vì hệ thống từ xa và ngắt kết nối các phiên remote desktop thay vì chỉ khóa chúng.
Theo The Hacker News