VietNetwork.Vn

Các nhà nghiên cứu an ninh mạng đã tiết lộ những lỗ hổng bảo mật mới ảnh hưởng đến Citrix Virtual Apps and Desktop có thể bị khai thác để thực thi mã từ xa không xác thực (RCE)

Theo phát hiện của watchTowr, vấn đề bắt nguồn từ thành phần Ghi phiên cho phép quản trị viên hệ thống nắm bắt hoạt động của người dùng và ghi lại dữ liệu đầu vào từ bàn phím và chuột, cùng với luồng video của màn hình nền cho mục đích kiểm tra, tuân thủ và khắc phục sự cố.


Nhà nghiên cứu bảo mật Sina Kheirkhah cho biết, lỗ hổng này khai thác "sự kết hợp giữa một phiên bản MSMQ bị lộ một cách bất cẩn với các quyền được cấu hình sai, tận dụng BinaryFormatter có thể được truy cập từ bất kỳ máy chủ nào qua HTTP để thực hiện RCE chưa được xác thực".

Chi tiết về lỗ hổng được liệt kê dưới đây -

• CVE-2024-8068 (Điểm CVSS: 5.1) - Nâng cao đặc quyền truy cập Tài khoản NetworkService
• CVE-2024-8069 (Điểm CVSS: 5.1) - Thực thi mã từ xa bị giới hạn với quyền truy cập Tài khoản NetworkService

Tuy nhiên, Citrix lưu ý rằng việc khai thác thành công đòi hỏi kẻ tấn công phải là người dùng được xác thực trong cùng miền Windows Active Directory với miền máy chủ ghi phiên và trên cùng mạng nội bộ với máy chủ ghi phiên. Các lỗi đã được giải quyết trong các phiên bản sau -

• Citrix Virtual Apps and Desktops trước bản sửa lỗi 24.5.200.8 2407
• Citrix Virtual Apps and Desktops 1912 LTSR trước bản sửa lỗi nóng CU9 19.12.9100.6
• Citrix Virtual Apps and Desktops 2203 LTSR trước bản sửa lỗi nóng CU5 22.03.5100.11
• Citrix Virtual Apps and Desktops 2402 LTSR trước bản sửa lỗi nóng CU1 24.02.1200.16

Cần lưu ý rằng Microsoft đã thúc giục các nhà phát triển ngừng sử dụng BinaryFormatter để hủy tuần tự hóa, vì phương pháp này không an toàn khi sử dụng với đầu vào không đáng tin cậy. Một triển khai BinaryFormatter đã bị xóa   Đăng nhập để xem liên kết 9 kể từ tháng 8 năm 2024.

"BinaryFormatter đã được triển khai trước khi các lỗ hổng deserialization trở thành một danh mục mối đe dọa được hiểu rõ", gã khổng lồ công nghệ lưu ý trong tài liệu của mình. "Do đó, mã không tuân theo các thông lệ tốt nhất hiện đại. BinaryFormatter.Deserialize có thể dễ bị tấn công bởi các danh mục tấn công khác, chẳng hạn như tiết lộ thông tin hoặc thực thi mã từ xa".

Nguyên nhân chính của vấn đề là Trình quản lý lưu trữ bản ghi phiên, một dịch vụ Windows quản lý các tệp phiên đã ghi nhận từ mỗi máy tính có bật tính năng này.

Trong khi Storage Manager nhận các bản ghi phiên dưới dạng byte tin nhắn thông qua dịch vụ Microsoft Message Queuing (MSMQ), quá trình phân tích phát hiện ra rằng một quy trình tuần tự hóa được sử dụng để truyền dữ liệu và phiên bản hàng đợi có quá nhiều đặc quyền.

Tệ hơn nữa, dữ liệu nhận được từ hàng đợi được hủy tuần tự hóa bằng BinaryFormatter, do đó cho phép kẻ tấn công lợi dụng các quyền không an toàn được thiết lập trong quá trình khởi tạo để truyền các tin nhắn MSMQ được thiết kế đặc biệt qua HTTP trên Internet.

"Chúng tôi biết có một trường hợp MSMQ với các quyền được cấu hình sai và chúng tôi biết rằng nó sử dụng lớp BinaryFormatter khét tiếng để thực hiện giải tuần tự hóa", Kheirkhah cho biết, đồng thời nêu chi tiết các bước để tạo ra một khai thác. "Điều tuyệt vời nhất là nó có thể được truy cập không chỉ cục bộ, thông qua cổng TCP MSMQ mà còn từ bất kỳ máy chủ nào khác, thông qua HTTP".

"Sự kết hợp này cho phép thực hiện RCE không cần xác thực", nhà nghiên cứu nói thêm.