Microsoft cảnh báo cập nhật khẩn cho lỗ hổng bảo mật Windows 10/11

Vừa qua một tháng sau khi phát hành bản xây dựng Windows 10/11 1903 được quảng bá rộng rãi, Microsoft hiện đang cảnh báo người dùng rằng họ sẽ buộc phải thực hiện một số nâng cấp trên phiên bản mới nhất của Windows OS. Điều này theo sau một số tiết lộ rằng hệ điều hành có lỗ hổng bảo mật có thể cho hacker quyền truy cập cấp administrator để xóa file, cài ứng dụng và chạy ứng dụng.

Cảnh báo cập nhật Windows 10/11 này đến sau khi SandboxEscaper – một thợ săn lỗ hổng Windows nổi tiếng – phát hành một loạt exploit cho phép bất kỳ ai có được "kiểm soát hoàn toàn" máy Windows 10/11 và Server 2019.

Việc phát hành các lỗ hổng bảo mật này là thời điểm tồi tệ cho Microsoft. Trước khi triển khai bản cập nhật Windows 10/11 mới nhất, Microsoft đã hứa hẹn sẽ cho người dùng kiểm soát, chất lượng và minh bạch hơn quá trình cập nhật. Người dùng có thể, ví dụ, lên lịch cập nhật, trì hoãn chúng, hoặc bật tùy chọn Intelligent Active Hours (Giờ hoạt động thông minh), một tính năng tự động phát hiện khi người dùng bận rộn trên PC và lên lịch cập nhật khi họ có khả năng cao vắng mặt.

Cùng lúc, bản phát hành Windows mới được cho là ít bị tổn thương bởi khai thác zero-day. Nhưng bây giờ trông như công ty sẽ phải cứu diện bằng cách phá vỡ lời hứa đó và phân phối bản vá bảo mật mà không cần sự đồng ý của người dùng.

Người dùng Windows 10/11 Home chiếm đa số trong hơn 800 triệu người dùng Windows sẽ bị ảnh hưởng nặng nề nhất vì họ không thể tự động trì hoãn bất kỳ loại cập nhật nào. Tin tốt duy nhất về exploit mới nhất, nếu có, là nó yêu cầu ai đó phải có quyền truy cập vào máy tính của bạn để tận dụng. Điều này trái ngược hoàn toàn với các lỗ hổng bảo mật Windows 10/11 trước đó xóa dữ liệu người dùng, làm chậm trình duyệt chromium-based, giảm hiệu suất game, và phá vỡ cập nhật app bằng cách cho phép truy cập từ xa.

Bản vá bảo mật Windows 10/11

Microsoft đã hứa bản vá cho các bản cập nhật bảo mật này, nhưng công ty vẫn chưa thoát khỏi rừng rậm. SandboxEscaper chọn không hợp tác với công ty về lỗ hổng bảo mật, mà thay vào đó chọn phát hành chúng trên Github với demo proof-of-concept giải thích cách sử dụng exploit.

Kẻ hacker này cũng được cho là đang tìm cách bán các exploit tương tự cho "người mua phi phương Tây" với giá 60.000 đơn vị tiền tệ không xác định. Đây không phải lần đầu SandboxEscaper phát hành exploit zero-day Windows mà không tuân thủ hướng dẫn dùng có trách nhiệm. Năm 2018, chẳng hạn, nhà phát triển game thủ này đã tiết lộ exploit zero-day Windows trong bộ lập lịch nhiệm vụ Windows có thể cho phép kẻ xấu获得 đặc quyền cao hơn.

Exploit cụ thể đó tận dụng việc API bộ lập lịch nhiệm vụ Windows không kiểm tra quyền限. Microsoft sau đó đã vá exploit, nhưng không trước khi nó bị khai thác trong chiến dịch gián điệp chỉ hai ngày sau khi tiết lộ.

Lịch sử như vậy khiến Microsoft lo lắng. Mặt một, công ty muốn giữ lời hứa kiểm soát cập nhật tốt hơn cho người dùng, mặt khác, phải chơi trò mèo đuổi chuột mà một số thợ săn exploit zero-day như SandboxEscaper thích tham gia.

Phân tích 4 lỗ hổng Windows 10/11

Exploit mới được gọi là "ByeBear" cho phép kẻ tấn công cục bộ bỏ qua bản vá CVE-2019-0841 Windows gần đây và sau đó获得 quyền cài đặt chương trình, xóa, thay đổi hoặc xem dữ liệu người dùng. Lỗ hổng leo thang đặc quyền tồn tại vì Dịch vụ triển khai Windows AppX (AppXSVC) xử lý không đúng hard link.

Bản bypass thứ hai cho bản vá CVE-2019-0841 Windows như SandboxEscaper tiết lộ trên bài viết Github hoạt động bằng cách xóa tất cả file và thư mục con trong: ("c:\\users\\%username%\\appdata\\local\\packages\\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\\") và sau đó khởi chạy Microsoft Edge hai lần. Trình duyệt sẽ crash lần đầu, nhưng lần thứ hai, cô ấy nói, "nó sẽ ghi DACL [danh sách kiểm soát truy cập tùy ý] trong khi mạo danh SYSTEM."

Lần khởi chạy thứ hai dẫn đến mạo danh không đúng, cho phép kẻ tấn công获得 truy cập nâng cao. SandboxEscaper cũng tiết lộ lỗi này không giới hạn ở Microsoft Edge và cũng có thể kích hoạt với các gói khác.

Exploit zero-day khác được tiết lộ như một phần của các tiết lộ bởi SandboxEscaper liên quan đến Internet Explorer 11 và có thể cho phép kẻ tấn công chèn thư viện liên kết động (DLL) vào trình duyệt. Exploit khác là vấn đề "installer bypass" trong Windows Update.

Phản hồi của Microsoft đối với lỗ hổng bảo mật

Về lỗi Internet Explorer, Microsoft có phát biểu: "Để khai thác lỗ hổng này, kẻ tấn công trước tiên phải đăng nhập vào hệ thống. Kẻ tấn công có thể chạy ứng dụng được chế tác đặc biệt có thể khai thác lỗ hổng và kiểm soát hệ thống bị ảnh hưởng." Có vẻ công ty tin rằng exploit sẽ khó tận dụng.

Và đó là tất cả về cảnh báo cập nhật Windows 10/11 mới nhất, nhưng trước khi bạn đi, chúng tôi khuyên bạn nên giữ hệ thống cập nhật và sạch khỏi phần mềm độc hại và mối đe dọa khác bằng cách dọn dẹp với công cụ sửa PC, như Outbyte PC Repair. Cách đó, PC của bạn sẽ không phải là mục tiêu dễ dàng cho kẻ xấu.