Nhớ cái gì đó Tấn công ngược RDPỞ bất cứ nơi nào, một hệ thống máy khách dễ bị tổn thương theo đường dẫn có thể bị xâm phạm khi truy cập từ xa vào máy chủ qua Giao thức máy tính từ xa của Microsoft?
Mặc dù Microsoft đã vá lỗ hổng (CVE-2019-0887) như là một phần của bản cập nhật Patch thứ ba tháng 7 năm 2019, nhưng hóa ra các nhà nghiên cứu đã có thể bỏ qua bản vá chỉ bằng cách thay thế các dấu gạch chéo ngược trong đường dẫn bằng dấu gạch chéo về phía trước.
Microsoft thừa nhận sửa chữa không đúng cách và vá lại lỗ hổng trong bản cập nhật Patch thứ ba tháng 2 năm 2020 vào đầu năm nay, hiện được theo dõi là CVE-2020-0655.
Trong báo cáo mới nhất được chia sẻ với The Hacker News, nhà nghiên cứu của Check Point tiết lộ rằng Microsoft đã giải quyết vấn đề bằng cách thêm một cách giải quyết khác trong Windows trong khi vẫn giữ nguyên gốc của vấn đề bỏ qua, một hàm API “PathCchCanonicalize” không thay đổi.
Rõ ràng, cách giải quyết hoạt động tốt đối với máy khách RDP tích hợp trong các hệ điều hành Windows, nhưng bản vá không đủ chứng minh để bảo vệ các máy khách RDP của bên thứ ba khác chống lại cuộc tấn công tương tự dựa trên chức năng khử trùng dễ bị tổn thương do Microsoft phát triển.
“Chúng tôi thấy rằng kẻ tấn công không chỉ có thể vượt qua bản vá của Microsoft mà còn có thể vượt qua mọi kiểm tra chuẩn hóa được thực hiện theo thông lệ tốt nhất của Microsoft”, nhà nghiên cứu của Check Point Eyal Itkin cho biết trong một báo cáo được chia sẻ với The Hacker News.
Đối với những người không biết tấn công đường ngang xảy ra khi một chương trình chấp nhận tệp làm đầu vào không xác minh được, cho phép kẻ tấn công lưu tệp ở bất kỳ vị trí nào được chọn trên hệ thống đích và do đó làm lộ nội dung của tệp bên ngoài thư mục gốc của ứng dụng.
“Một máy tính bị nhiễm phần mềm độc hại từ xa có thể chiếm lấy bất kỳ máy khách nào cố gắng kết nối với nó. Ví dụ: nếu một nhân viên CNTT cố gắng kết nối với máy tính của công ty từ xa bị nhiễm phần mềm độc hại, phần mềm độc hại sẽ có thể tấn công CNTT Các máy tính của nhân viên là tốt, “các nhà nghiên cứu mô tả.
Lỗ hổng được đưa ra ánh sáng năm ngoáivà một nghiên cứu tiếp theo vào tháng 8 đã phát hiện ra rằng nó đã tác động đến Microsoft Ảo hóa phần cứng Hyper-V nền tảng là tốt.
Đây là một video trình diễn về lỗ hổng ban đầu từ năm ngoái:
Một lỗ hổng đường dẫn được vá không đúng cách
Theo các nhà nghiên cứu, bản vá tháng 7 có thể được bỏ qua vì một vấn đề nằm ở chức năng chuẩn hóa đường dẫn của nó “PathCchCanonicalize, “được sử dụng để vệ sinh đường dẫn tập tin, do đó cho phép một tác nhân xấu khai thác đồng bộ hóa clipboard giữa máy khách và máy chủ để thả các tệp tùy ý vào các đường dẫn tùy ý trên máy khách.
Nói cách khác, khi sử dụng tính năng chuyển hướng clipboard trong khi được kết nối với máy chủ RDP bị xâm nhập, máy chủ có thể sử dụng bảng tạm RDP được chia sẻ để gửi tệp đến máy tính của khách hàng và thực hiện mã từ xa.
Mặc dù các nhà nghiên cứu của Check Point ban đầu xác nhận rằng “bản sửa lỗi phù hợp với mong đợi ban đầu của chúng tôi”, nhưng có vẻ như nó có nhiều thứ hơn là bắt mắt: bản vá có thể được bỏ qua đơn giản bằng cách thay thế các dấu gạch chéo ngược (ví dụ: tệp to location) trong các đường dẫn bằng chuyển tiếp dấu gạch chéo (ví dụ: tệp / đến / vị trí), theo truyền thống đóng vai trò là đường dẫn dấu phân cách trong các hệ thống dựa trên Unix.
“Có vẻ như PathCchCanonicalize, chức năng được đề cập trong hướng dẫn thực hành tốt nhất của Windows về cách chuẩn hóa đường dẫn thù địch, bỏ qua các ký tự gạch chéo về phía trước”, Itkin nói. “Chúng tôi đã xác minh hành vi này bằng cách triển khai chức năng đảo ngược của Microsoft, thấy rằng nó phân chia đường dẫn đến các bộ phận bằng cách chỉ tìm kiếm ” và bỏ qua ‘/.'”
Công ty an ninh mạng cho biết họ đã tìm thấy lỗ hổng khi thử kiểm tra máy khách Remote Desktop của Microsoft cho Mac, một máy khách RDP bị loại khỏi phân tích ban đầu của họ vào năm ngoái. Thật thú vị, bản thân máy khách macOS RDP không dễ bị CVE-2019-0887.
Với lỗ hổng chính vẫn chưa được khắc phục, Check Point cảnh báo rằng tác động của việc bỏ qua đơn giản đến chức năng vệ sinh đường dẫn lõi của Windows có nguy cơ nghiêm trọng đối với nhiều sản phẩm phần mềm khác có khả năng bị ảnh hưởng.
“Microsoft đã bỏ qua việc khắc phục lỗ hổng trong API chính thức của họ và vì vậy tất cả các chương trình được viết theo thông lệ tốt nhất của Microsoft vẫn sẽ dễ bị tấn công theo đường dẫn”, Omri Herscovici của Check Point nói. “Chúng tôi muốn các nhà phát triển nhận thức được mối đe dọa này để họ có thể xem qua các chương trình của họ và tự áp dụng một bản vá chống lại nó.”
