VietNetwork.Vn

Microsoft hôm thứ Năm đã tiết lộ bốn lỗ hổng bảo mật ở mức độ nghiêm trọng trung bình trong phần mềm OpenVPN nguồn mở có thể bị xâu chuỗi để thực thi mã từ xa (RCE) và leo thang đặc quyền cục bộ (LPE).

Vladimir Tokarev thuộc Cộng đồng tình báo mối đe dọa của Microsoft cho biết : "Chuỗi tấn công này có thể cho phép kẻ tấn công giành toàn quyền kiểm soát các điểm cuối được nhắm mục tiêu, có khả năng dẫn đến vi phạm dữ liệu, xâm phạm hệ thống và truy cập trái phép vào thông tin nhạy cảm".


Điều đó cho thấy, cách khai thác do Black Hat USA 2024 trình bày, yêu cầu xác thực người dùng và hiểu biết nâng cao về hoạt động bên trong của OpenVPN. Các lỗ hổng ảnh hưởng đến tất cả các phiên bản OpenVPN trước phiên bản 2.6.10 và 2.5.10.

Danh sách các lỗ hổng như sau -

• CVE-2024-27459 - Lỗ hổng tràn ngăn xếp dẫn đến Từ chối dịch vụ (DoS) và LPE trong Windows
• CVE-2024-24974 - Truy cập trái phép vào đường ống có tên "\openvpn\service" trong Windows, cho phép kẻ tấn công tương tác từ xa với nó và khởi chạy các hoạt động trên nó
• CVE-2024-27903 - Lỗ hổng trong cơ chế plugin dẫn đến RCE trong Windows, LPE và thao túng dữ liệu trong Android, iOS, macOS và BSD
• CVE-2024-1305 - Lỗ hổng tràn bộ nhớ dẫn đến DoS trong Windows

Ba trong số bốn lỗ hổng đầu tiên bắt nguồn từ một thành phần có tên openvpnserv, trong khi lỗ hổng cuối cùng nằm trong trình điều khiển Windows Terminal Access Point (TAP).


Tất cả các lỗ hổng có thể bị khai thác khi kẻ tấn công giành được quyền truy cập vào thông tin đăng nhập OpenVPN của người dùng, do đó, có thể lấy được thông tin này thông qua nhiều phương pháp khác nhau, bao gồm mua thông tin xác thực bị đánh cắp trên web đen, sử dụng phần mềm độc hại đánh cắp hoặc đánh hơi lưu lượng truy cập mạng để lấy băm NTLMv2 sau đó sử dụng các công cụ bẻ khóa như HashCat hoặc John the Ripper để giải mã chúng.

Sau đó, kẻ tấn công có thể bị kết nối theo nhiều cách kết hợp khác nhau -- CVE-2024-24974 và CVE-2024-27903 hoặc CVE-2024-27459 và CVE-2024-27903 -- để đạt được RCE và LPE tương ứng.

Tokarev cho biết: "Kẻ tấn công có thể tận dụng ít nhất ba trong số bốn lỗ hổng được phát hiện để tạo ra các khai thác nhằm tạo điều kiện thuận lợi cho RCE và LPE, sau đó có thể kết nối chúng lại với nhau để tạo ra một chuỗi tấn công mạnh mẽ". (BYOVD) sau khi đạt được LPE.

"Ví dụ: thông qua các kỹ thuật này, kẻ tấn công có thể vô hiệu hóa Protect Process Light (PPL) cho một quy trình quan trọng như Microsoft Defender hoặc bỏ qua và can thiệp vào các quy trình quan trọng khác trong hệ thống. Những hành động này cho phép kẻ tấn công bỏ qua các sản phẩm bảo mật và thao túng các chức năng cốt lõi của hệ thống, tăng cường hơn nữa khả năng kiểm soát của chúng và tránh bị phát hiện."