Lỗ hổng zero-day trong Windows Installer ảnh hưởng tất cả HĐH của Microsoft

Microsoft đã tung ra một bản cập nhật để fix lỗ hổng bảo mật, nhưng nó không đủ để giải quyết vấn đề.

Nhóm bảo mật máy tính Cisco Talos đã tìm thấy một lỗ hổng mới ảnh hưởng đến mọi phiên bản Windows cho đến nay, bao gồm Windows 11 và Server 2022. Lỗ hổng này tồn tại trong Windows Installer và cho phép hacker nâng cao đặc quyền của họ để trở thành quản trị viên.

Việc phát hiện ra lỗ hổng này đã khiến nhóm Cisco Talos cập nhật các quy tắc Snort của mình , bao gồm các quy tắc để phát hiện các cuộc tấn công nhắm vào danh sách các lỗ hổng. Danh sách các quy tắc được cập nhật bao gồm nâng cấp lỗ hổng đặc quyền trong zero-day, cũng như các quy tắc mới và được sửa đổi đối với các mối đe dọa mới xuất hiện từ trình duyệt, hệ điều hành và giao thức mạng,..

Việc khai thác lỗ hổng này cho phép tin tặc có quyền truy cập hạn chế của người dùng nâng cao đặc quyền của họ, hoạt động như một quản trị viên của hệ thống. Công ty bảo mật đã tìm thấy các mẫu phần mềm độc hại trên Internet, vì vậy rất ai cũng có thể trở thành nạn nhân của nó.

Lỗ hổng bảo mật trước đó đã được Abdelhamid Naceri, một nhà nghiên cứu bảo mật của Microsoft, báo cáo cho Microsoft và được cho là đã được vá bằng bản sửa lỗi CVE-2021-41379 vào ngày 9 tháng 11. Tuy nhiên, bản vá dường như không đủ để khắc phục sự cố, khi vấn đề vẫn tiếp diễn, Naceri dẫn đến việc xuất bản bằng chứng về khái niệm trên GitHub.

Nói một cách dễ hiểu,  bằng chứng cho thấy cách hacker có thể thay thế bất kỳ tệp thực thi nào trên hệ thống bằng tệp MSI bằng cách sử dụng danh sách kiểm soát truy cập tùy ý (DACL) cho Microsoft Edge Elevation Service.

Microsoft đánh giá lỗ hổng bảo mật là "mức độ nghiêm trọng trung bình" với điểm CVSS (Hệ thống tính điểm lỗ hổng phổ biến) cơ bản là 5,5 và điểm tạm thời là 4,8. Bây giờ mã khai thác bằng chứng khái niệm chức năng đã có sẵn, những người khác có thể cố gắng lạm dụng nó hơn nữa, có thể làm tăng những điểm số này. Hiện tại, Microsoft vẫn chưa phát hành bản cập nhật mới để giảm thiểu lỗ hổng bảo mật.

Naceri dường như đã cố gắng tự mình vá lỗi nhị phân, nhưng không thành công. Cho đến khi Microsoft vá lỗ hổng, nhóm Cisco Talos khuyến nghị những người sử dụng tường lửa bảo mật của Cisco cập nhật bộ quy tắc của họ với các quy tắc Snort 58635 và 58636 để giữ cho người dùng được bảo vệ khỏi bị khai thác.