Gần 48 ngàn cá nhân và doanh nghiệp bị ảnh hưởng bởi lỗ hổng giao thức SMBv3 ảnh hưởng nghiêm trọng tới Windows 10 và Windows Se

Ngày 12/3/2020 vừa qua, Microsoft đã phát hành bản cập nhật phần mềm khẩn cấp để vá lỗ hổng rất nguy hiểm trong giao thức chia sẻ file phổ biến SMBv3. Lỗ hổng này cho phép kẻ tấn công khởi chạy các wormable malware, có thể tự động lây lan từ một máy tính bị nhiễm sang máy tính khác.

CVE-2020-0796 cho phép chạy lệnh độc hại từ xa mà không cần xác thực

Lỗ hổng có số hiệu CVE-2020-0796. Đây là một lỗ hổng thực thi mã từ xa ảnh hưởng đến Windows 10 phiên bản 1903 và 1909, và Windows Server phiên bản 1903 và 1909.

Khối thông điệp máy chủ (SMB – Server Message Block) chạy trên cổng TCP 445, là một giao thức mạng được thiết kế để cho phép chia sẻ files, truy cập mạng, sử dụng dịch vụ máy in, và giao tiếp tiến trình (inter-process communication) trên mạng.

Trên trang web của Microsoft hiện có bản cập nhật (KB4551762) cho 1 lỗ hổng tồn tại trong cách giao thức SMBv3 xử lý các yêu cầu với tiêu đề nén, cho phép kẻ tấn công từ xa chưa xác thực chạy mã độc trên máy chủ hoặc máy khách với Hệ thống đặc quyền.

Tiêu đề nén (compression header) là một tính năng mới được thêm vào giao thức SMBv3 của HĐH Windows 10 và Windows Server vào tháng 5 năm 2019. Nó được thiết kế để nén kích thước thư được trao đổi giữa máy chủ và máy khách có liên kết.

Microsoft cho biết trong một thông báo:

“Để khai thác lỗ hổng trong máy chủ, kẻ tấn công chưa xác thực có thể gửi một gói tin được thiết đặc biệt đến máy chủ SMBv3. Còn khi khai thác lỗ hổng trong máy khách, kẻ tấn công sẽ cần phải định cấu hình 1 máy chủ SMBv3 độc hại và thuyết phục người dùng kết nối với nó.”

Gần 48.000 cá nhân và doanh nghiệp bị ảnh hưởng bởi lỗ hổng SMBv3

Tại thời điểm hiện tại, chỉ có một khai thác PoC được biết đến được dùng cho việc khai thác từ xa lỗi nghiêm trọng này. Tuy nhiên, sử dụng reverse engineering trong các bản vá mới giờ đây cũng có thể giúp hacker tìm thấy các phương thức tấn công có thể vũ khí hóa hoàn toàn các phần mềm độc hại để chúng có thể tự lan truyền được.

Một nhóm các nhà nghiên cứu khác cũng đã công bố một phân tích kỹ thuật chi tiết về lỗ hổng này. Họ đưa ra kết luận một lỗi tràn kernel pool (một bộ nhớ thuộc cấp hệ thống) là nguyên nhân sâu xa của vấn đề.

Tính đến 12/3/2020, có gần 48.000 hệ thống Windows bị dính lỗi này và chúng có thể đã truy cập qua mạng Internet.

Theo The HackerNews