Lỗ hổng bảo mật zero-day “BlueHammer” trên Windows bị lộ
Mã khai thác đã được công bố cho một lỗ hổng leo thang đặc quyền trên Windows chưa được vá, vốn đã được báo cáo riêng cho Microsoft, cho phép kẻ tấn công giành quyền SYSTEM hoặc quyền quản trị nâng cao.
Lỗ hổng này, được đặt tên là BlueHammer, được công bố bởi một nhà nghiên cứu bảo mật không hài lòng với cách Trung tâm Phản hồi Bảo mật của Microsoft (MSRC) xử lý quá trình tiết lộ.
Do sự cố bảo mật này chưa có bản vá chính thức, cũng như bản update để khắc phục, nên lỗ hổng này được Microsoft coi là lỗ hổng zero-day.
Hiện vẫn chưa rõ nguyên nhân dẫn đến việc mã khai thác lỗ hổng này được công khai. Chỉ biết rằng một nhà nghiên cứu với biệt danh Chaotic Eclipse đã công bố lỗ hổng này.
"Không giống như những lần trước, tôi sẽ không giải thích cách thức hoạt động của nó; các bạn thiên tài có thể tự tìm ra. Ngoài ra, xin gửi lời cảm ơn sâu sắc đến ban lãnh đạo MSRC vì đã tạo điều kiện cho điều này," nhà nghiên cứu nói thêm.
Vào ngày 3/4, Chaotic Eclipse đã công bố một repository trên GitHub chứa mã khai thác lỗ hổng BlueHammer dưới bí danh Nightmare-Eclipse, đồng thời bày tỏ sự thất vọng về cách Microsoft xử lý vấn đề bảo mật này.
Nhà nghiên cứu cũng cho biết mã proof-of-concept (PoC) vẫn còn tồn tại lỗi, có thể khiến việc khai thác không ổn định.
Will Dormann, chuyên gia phân tích lỗ hổng tại Tharros (trước đây là Analygence), xác nhận rằng khai thác BlueHammer hoạt động và đây là một lỗ hổng leo thang đặc quyền cục bộ (LPE), kết hợp giữa lỗi TOCTOU (time-of-check to time-of-use) và nhầm lẫn đường dẫn (path confusion).
Ông cho biết việc khai thác không hề đơn giản, nhưng có thể cho phép kẻ tấn công cục bộ truy cập vào cơ sở dữ liệu Security Account Manager (SAM), nơi lưu trữ hash mật khẩu của các tài khoản nội bộ.
Từ đó, kẻ tấn công có thể leo thang lên quyền SYSTEM và có khả năng chiếm toàn bộ quyền kiểm soát máy, bao gồm việc thực thi các tiến trình với đặc quyền cao nhất.
Một số nhà nghiên cứu khi test lỗ hổng này đã xác nhận rằng mã độc không hoạt động thành công trên Windows Server, qua đó xác nhận tuyên bố của Chaotic Eclipse về các bug có thể gây cản trở hoạt động của hệ điều hành.
Will Dormann cũng cho biết thêm rằng trên nền tảng Server, lỗ hổng BlueHammer khai thác việc nâng quyền từ người dùng thông thường lên quản trị viên cấp cao. Đây là một cơ chế bảo vệ mà có thể tạm thời cho phép cần quyền truy cập đầy đủ vào hệ thống.
Mặc dù lý do đằng sau việc tiết lộ lỗ hổng Chaotic Eclipse/Nightmare-Eclipse vẫn chưa rõ ràng, Dormann lưu ý rằng MSRC sẽ yêu cầu phải cung cấp video về quá trình khai thác khi báo cáo lỗ hổng.
Điều này có thể giúp Microsoft dễ dàng hơn trong việc sàng lọc các lỗ hổng được báo cáo, nhưng nó lại đòi hỏi nhiều nỗ lực hơn khi gửi một báo cáo hợp lệ.
Bất chấp việc BlueHammer yêu cầu hacker phải có quyền truy cập cục bộ để khai thác, nhưng rủi ro mà nó gây ra vẫn rất đáng kể. Hacker có thể giành được quyền truy cập cục bộ thông qua nhiều con đường khác nhau, với các kỹ thuật như social engineering, khai thác các lỗ hổng phần mềm khác, hoặc thông qua các cuộc tấn công credential-based attacks.
Khi trả lời cho các bình luận của Microsoft về lỗ hổng BlueHammer, người phát ngôn của hãng đã chia sẻ như sau:
"Microsoft cam kết sẽ điều tra các vấn đề bảo mật được báo cáo và cập nhật các thiết bị bị ảnh hưởng để bảo vệ khách hàng càng sớm càng tốt. Chúng tôi cũng ủng hộ việc công bố lỗ hổng một cách phối hợp, một thông lệ được áp dụng rộng rãi trong ngành giúp đảm bảo các vấn đề được xem xét kỹ lưỡng và xử lý trước khi công bố công khai, hỗ trợ cả việc bảo vệ khách hàng và cộng đồng nghiên cứu bảo mật."
Bizfly Cloud tổng hợp
