Microsoft sửa 72 lỗi, bao gồm bản vá cho lỗ hổng CLFS đang bị khai thác tích cực

Xuất bản: 12/12/2024

Microsoft sửa 72 lỗi, bao gồm bản vá cho lỗ hổng CLFS đang bị khai thác tích cực

Microsoft đã kết thúc bản cập nhật Patch Tuesday năm 2024 với bản sửa lỗi cho tổng cộng 72 lỗi bảo mật trong danh mục phần mềm của mình, bao gồm một lỗi mà hãng cho biết đã bị khai thác trên thực tế.

![Lỗ hổng CLFS được khai thác tích cực](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEi0ecM04xQt-7IEWG8b51HSCs8Sz8QFlQwaHxfwNp5vI5Iy2zcXIqZRfHa3fy0-RLJekZRI6czqD1XiymjG1OssUqK-Zox-YiCZsVOILBXEFeqM-QPbN6SHjb-kfs9DB_VK2pigurZ3-ZMqMsdR8gdB2vYljyfSI_ukDi3MS_DXniT5GCc46jCuPHJkZyWU/s728-rw-e365/windows-patch-update.png "Lỗ hổng CLFS được khai thác tích cực")

Trong số 72 lỗi, 17 lỗi được đánh giá là Nghiêm trọng, 54 lỗi được đánh giá là Quan trọng và một lỗi được đánh giá là Trung bình về mức độ nghiêm trọng. Ba mươi mốt trong số các lỗ hổng là lỗi thực thi mã từ xa và 27 trong số đó cho phép nâng cao đặc quyền.

Đây là bản bổ sung cho 13 lỗ hổng mà công ty đã giải quyết trong trình duyệt Edge dựa trên Chromium kể từ khi phát hành bản cập nhật bảo mật vào tháng trước . Tổng cộng, Microsoft đã giải quyết tới 1.088 lỗ hổng chỉ riêng trong năm 2024, theo Fortra.

Lỗ hổng mà Microsoft thừa nhận đã bị khai thác tích cực là CVE-2024-49138 (điểm CVSS: 7,8), một lỗ hổng leo thang đặc quyền trong Trình điều khiển Hệ thống tệp nhật ký chung (CLFS) của Windows.

"Kẻ tấn công khai thác thành công lỗ hổng này có thể giành được đặc quyền HỆ THỐNG", công ty cho biết trong một thông báo, đồng thời ghi nhận công ty an ninh mạng CrowdStrike đã phát hiện và báo cáo lỗ hổng này.

Cần lưu ý rằng CVE-2024-49138 là lỗ hổng leo thang đặc quyền CLFS thứ năm được khai thác tích cực kể từ năm 2022 sau CVE-2022-24521, CVE-2022-37969, CVE-2023-23376 và CVE-2023-28252 (điểm CVSS: 7,8). Đây cũng là lỗ hổng thứ chín trong cùng một thành phần được vá trong năm nay.

Cybersecurity

Satnam Narang, kỹ sư nghiên cứu cấp cao tại Tenable, chia sẻ với The Hacker News: "Mặc dù thông tin chi tiết về việc khai thác thực tế vẫn chưa được biết, nhưng khi nhìn lại lịch sử các lỗ hổng trình điều khiển CLFS, điều thú vị cần lưu ý là những kẻ điều hành phần mềm tống tiền đã phát triển xu hướng khai thác các lỗ hổng nâng cao đặc quyền CLFS trong vài năm qua".

"Không giống như các nhóm đe dọa dai dẳng tiên tiến thường tập trung vào độ chính xác và tính kiên nhẫn, các nhà điều hành và chi nhánh ransomware tập trung vào các chiến thuật đập phá và cướp bóc bằng mọi cách cần thiết. Bằng cách sử dụng các lỗ hổng nâng cao đặc quyền như lỗ hổng này trong CLFS, các chi nhánh ransomware có thể di chuyển qua một mạng nhất định để đánh cắp và mã hóa dữ liệu và bắt đầu tống tiền nạn nhân của chúng."

Microsoft đã nhận thấy thực tế là CLFS đã trở thành con đường tấn công hấp dẫn đối với những kẻ xấu và cho biết họ đang nỗ lực thêm một bước xác minh mới khi phân tích các tệp nhật ký như vậy.

"Thay vì cố gắng xác thực các giá trị riêng lẻ trong cấu trúc dữ liệu tệp nhật ký, biện pháp giảm thiểu bảo mật này cung cấp cho CLFS khả năng phát hiện khi tệp nhật ký bị sửa đổi bởi bất kỳ thứ gì ngoài trình điều khiển CLFS", Microsoft lưu ý vào cuối tháng 8 năm 2024. "Điều này đã được thực hiện bằng cách thêm Mã xác thực tin nhắn dựa trên hàm băm (HMAC) vào cuối tệp nhật ký".

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm lỗ hổng này vào danh mục Các lỗ hổng đã khai thác ( KEV ), yêu cầu các cơ quan thuộc Cơ quan hành pháp dân sự liên bang (FCEB) áp dụng các biện pháp khắc phục cần thiết trước ngày 31 tháng 12 năm 2024.

Lỗi có mức độ nghiêm trọng cao nhất trong bản phát hành tháng này là lỗi thực thi mã từ xa ảnh hưởng đến Giao thức truy cập thư mục nhẹ của Windows (LDAP). Lỗi này được theo dõi là CVE-2024-49112 (điểm CVSS: 9,8).

Microsoft cho biết: "Kẻ tấn công chưa xác thực đã khai thác thành công lỗ hổng này có thể thực thi mã thông qua một tập hợp các lệnh gọi LDAP được thiết kế đặc biệt để thực thi mã tùy ý trong bối cảnh của dịch vụ LDAP".

Ngoài ra, cần lưu ý đến hai lỗ hổng thực thi mã từ xa khác ảnh hưởng đến Windows Hyper-V ( CVE-2024-49117 , điểm CVSS: 8.8), Remote Desktop Client ( CVE-2024-49105 , điểm CVSS: 8.4) và Microsoft Muzic ( CVE-2024-49063 , điểm CVSS: 8.4).

Sự phát triển này diễn ra khi 0patch phát hành bản sửa lỗi không chính thức cho lỗ hổng zero-day của Windows cho phép kẻ tấn công chiếm được thông tin đăng nhập NT LAN Manager (NTLM). Các chi tiết bổ sung về lỗ hổng này đã được giữ kín cho đến khi bản vá chính thức có sẵn.

Mitja Kolsek cho biết: "Lỗ hổng bảo mật này cho phép kẻ tấn công lấy được thông tin xác thực NTLM của người dùng chỉ bằng cách yêu cầu người dùng xem tệp độc hại trong Windows Explorer – ví dụ, bằng cách mở thư mục dùng chung hoặc ổ đĩa USB có tệp đó hoặc xem thư mục Tải xuống nơi tệp đó trước đó đã được tự động tải xuống từ trang web của kẻ tấn công " .

Vào cuối tháng 10, các bản vá lỗi không chính thức miễn phí cũng đã được cung cấp để giải quyết lỗ hổng bảo mật zero-day của Windows Themes cho phép kẻ tấn công đánh cắp thông tin đăng nhập NTLM của mục tiêu từ xa.

0patch cũng đã phát hành các bản vá nhỏ cho một lỗ hổng khác chưa từng được biết đến trên Windows Server 2012 và Server 2012 R2 cho phép kẻ tấn công bỏ qua các biện pháp bảo vệ Mark-of-the-Web ( MotW ) trên một số loại tệp nhất định. Người ta tin rằng vấn đề này đã xuất hiện cách đây hơn hai năm.

Cybersecurity

Với việc NTLM bị khai thác rộng rãi thông qua các cuộc tấn công chuyển tiếp và truyền băm , Microsoft đã công bố kế hoạch loại bỏ giao thức xác thực cũ để chuyển sang Kerberos. Hơn nữa, họ đã thực hiện bước kích hoạt Bảo vệ mở rộng cho xác thực (EPA) theo mặc định cho các bản cài đặt Exchange 2019 mới và hiện có.

Microsoft cho biết họ đã triển khai cải tiến bảo mật tương tự cho Azure Directory Certificate Services (AD CS) bằng cách bật EPA theo mặc định khi phát hành Windows Server 2025, đồng thời loại bỏ hỗ trợ cho NTLM v1 và ngừng hỗ trợ NTLM v2. Những thay đổi này cũng áp dụng cho Windows 11 24H2.

"Ngoài ra, như một phần của bản phát hành Windows Server 2025, LDAP hiện đã bật liên kết kênh theo mặc định", nhóm bảo mật của Redmond cho biết vào đầu tuần này. "Những cải tiến bảo mật này giảm thiểu rủi ro tấn công chuyển tiếp NTLM theo mặc định trên ba dịch vụ tại chỗ: Exchange Server, Active Directory Certificate Services (AD CS) và LDAP".

"Khi chúng tôi tiến tới việc vô hiệu hóa NTLM theo mặc định, những thay đổi tức thời, ngắn hạn, chẳng hạn như bật EPA trong Exchange Server, AD CS và LDAP sẽ củng cố thế trận 'an toàn theo mặc định' và bảo vệ người dùng khỏi các cuộc tấn công trong thế giới thực."

Bản vá phần mềm từ các nhà cung cấp khác[#](#software-patches-from-other-vendors)

Ngoài Microsoft, các bản cập nhật bảo mật cũng đã được các nhà cung cấp khác phát hành trong vài tuần qua để khắc phục một số lỗ hổng, bao gồm —