Đáng sợ: Microsoft không thể khắc phục lỗ hổng zero-day, mọi phiên bản Windows đều gặp rủi ro

Mọi phiên bản Windows hiện tại đều gặp các rủi ro về lỗ hổng zero-day đáng sợ bởi Microsoft đã thất bại trong việc vá chúng. Việc khai thác lỗ hổng hiện vẫn ở giai đoạn kiểm tra tính khả thi (PoC: proof-of-concept) nhưng các nhà khoa học tin rằng quá trình thử nghiệm đang diễn ra ở quy mô nhỏ. Cách khai thác này cũng sẽ được điều chỉnh nhằm tạo tiền đề cho 1 cuộc tấn công có phạm vi rộng hơn.

Nic Biasini, Trưởng bộ phận tiếp cận của Cisco Talos, cho biết: “Trong quá trình điều tra, chúng tôi đã xem xét các mẫu malware và có thể xác định một số tác nhân xấu đã cố gắng tận dụng việc khai thác đó. Do số lượng còn ít, nhiều khả năng đã có những người đang viết các mã kiểm tra tính khả thi hoặc thử nghiệm cho các chiến dịch trong tương lai.”

Lỗ hổng này lợi dụng 1 lỗi Windows Installer (có tên mã là CVE-2021-41379) mà Microsoft cho rằng họ đã vá vào đầu tháng này. Lỗ hổng này cung cấp cho người dùng khả năng nâng các đặc quyền cục bộ lên đặc quyền SYSTEM (hệ thống), vốn là quyền người dùng cao nhất hiện có trên Windows. Khi đã sẵn sàng, những kẻ tạo ra malware có thể sử dụng các đặc quyền đó để thay thế bất kỳ file thực thi nào có trên hệ thống bằng file MSI nhằm chạy mã với tư cách là admin (quản trị viên). Nói chung, những kẻ xấu đó có thể chiếm đoạt hệ thống.

Cuối tuần qua, nhà nghiên cứu bảo mật Abdelhamid Naseri, người đã phát hiện ra lỗ hổng ban đầu, đã đăng tải trên GitHub một đoạn mã khai thác kiểm tra tính khả thi và cho thấy rằng chúng vẫn hoạt động tốt dù Microsoft đã tung bản vá. Tệ hơn nữa, Naseri cho rằng phiên bản mới này còn nguy hiểm hơn bởi nó vượt qua chính sách nhóm (group policy) có trong cài đặt quản trị của Windows.

Naseri cho hay: “Biến thể này được phát hiện trong quá trình phân tích bản vá CVE-2021-41379. Tuy nhiên, lỗi đã không được khắc phục một cách chính xác thay vì vá khả năng vượt qua. Tôi đã chọn tập trung vào biến thể này bởi nó thực sự mạnh mẽ hơn phiên bản gốc.”

BleepingComputer đã thử nghiệm cách khai thác của Naseri, và trong vòng “vài giây”, phương pháp này có thể mở Command Prompt với quyền SYSTEM từ tài khoản có quyền “thông thường”.

Dù không nên quá lo lắng nhưng lỗ hổng bảo mật này có thể khiến hàng tỉ hệ thống gặp rủi ro nếu nó lan rộng. Cần lưu ý rằng cách khai thác này cung cấp cho những kẻ tấn công quyền quản trị trên các phiên bản hệ điều hành Windows mới nhất, kể cả Windows 10 và Windows 11. Điều đó đồng nghĩa rằng có hơn 1 tỉ hệ thống đang gặp rủi ro. Tuy nhiên, đây không phải là một lỗ hổng có thể khai thác từ xa, thế nên, kẻ xấu cần phải có quyền truy cập vật lý vào thiết bị của bạn để thực hiện cuộc tấn công.

Microsoft đã đánh dấu lỗ hổng ban đầu với mức độ nghiêm trọng trung bình, nhưng Trưởng kỹ thuật của Nhóm Nghiên cứu & Trí tuệ Bảo mật Talos của Cisco, nhấn mạnh trong 1 bài đăng trên blog rằng sự tồn tại của các mã kiểm tra tính khả thi đồng nghĩa rằng Microsoft cần tung ra bản vá này ngay. Hiện tại, gã khổng lồ phần mềm chưa có kế hoạch tung ra bản sửa lỗi hoặc phương pháp khắc phục cho lỗ hổng này.

Naseri cho biết rằng anh chưa thông báo cho Microsoft về lỗ hổng bảo mật này trước khi công khai. Đây cũng là một cách để anh chống lại các khoản thanh toán quá nhỏ từ chương trình tìm lỗi phát thưởng của Microsoft, đồng thời khuyên những công ty bên thứ ba phát hành các bản vá lỗi của chính họ.

Microsoft đã biết về lỗ hổng bảo mật đó nhưng hiện chưa đưa ra lịch trình về thời điểm phát hành bản sửa lỗi.

Microsoft xác nhận: “Chúng tôi đã biết về lỗ hổng đó và sẽ làm những gì cần thiết để giữ cho khách hàng của chúng tôi an toàn và được bảo vệ. Kẻ tấn công sử dụng các phương pháp được mô tả phải có quyền truy cập vào thiết bị cũng như khả năng chạy mã trên máy của nạn nhân.”