Nhóm Nghiên cứu Bộ bảo vệ Microsoft 365 đã phát hiện ra các lỗ hổng được theo dõi là CVE-2022-29799 và CVE-2022-29800.


Microsoft đã tiết lộ rằng họ đã phát hiện ra một danh sách các lỗ hổng có thể cho phép những kẻ xấu chiếm được quyền hệ thống gốc trên hệ thống Linux. Người khổng lồ phần mềm này cho biết, được gọi chung là Nimbuspwn, các lỗ hổng này có thể bị những kẻ tấn công tận dụng làm véc tơ cho quyền truy cập root bởi các mối đe dọa phức tạp hơn bao gồm phần mềm độc hại và ransomware. Các lỗ hổng bảo mật tồn tại trong một thành phần hệ thống có sẵn rộng rãi trên các bản phân phối Linux. Các bản sửa lỗi cho các lỗ hổng được báo cáo đã được triển khai bởi người bảo trì thành phần.

Trong một bài đăng trên blog chi tiết, Microsoft cho biết rằng các lỗ hổng được phát hiện bởi nhóm Nghiên cứu Microsoft 365 Defender có thể được nhóm lại với nhau để đạt được đặc quyền root trên hệ thống Linux và cho phép kẻ tấn công thực hiện các cuộc tấn công ransomware hoặc các hành động độc hại bằng cách sử dụng mã tùy ý.

Các lỗ hổng, được theo dõi là CVE-2022-29799 và CVE-2022-29800, được tìm thấy trong thành phần được gọi là networkd-dispatcher, giúp cung cấp các bản cập nhật trạng thái mạng. Nó chạy dưới quyền root khi hệ thống bắt đầu gửi các thay đổi trạng thái mạng và chạy các tập lệnh để phản hồi lại trạng thái mạng mới.

Tuy nhiên, người ta phát hiện ra rằng thành phần hệ thống bao gồm một phương thức "_run_hooks_for_state" cho phép tin tặc truy cập vào thư mục cơ sở "/ etc / networkd-dispatcher". Theo các nhà nghiên cứu của Microsoft, phương pháp này về cơ bản làm lộ hệ thống Linux với lỗ hổng truyền tải thư mục, được xác định là CVE-2022-29799, bằng cách không khử trùng OperationalState hoặc Administrator.

Phương pháp tương tự cũng được phát hiện có lỗ hổng điều kiện cuộc đua Thời gian kiểm tra thời gian sử dụng (TOCTOU), được theo dõi là CVE-2022-29800. Các nhà nghiên cứu cho biết lỗ hổng cụ thể này cho phép những kẻ tấn công thay thế các tập lệnh mà người điều phối mạng tin rằng thuộc quyền sở hữu của người chủ bằng các tập lệnh có chứa mã độc hại, các nhà nghiên cứu cho biết.

Kẻ tấn công có thể sử dụng nhiều đoạn mã độc hại lần lượt để khai thác lỗ hổng.

Các nhà nghiên cứu của Microsoft đã chia sẻ một khái niệm bằng chứng trong đó họ nhấn mạnh rằng trong ba lần thử, họ đã có thể chiến thắng lỗi điều kiện cuộc đua và trồng thành công các tệp của mình.

Một tin tặc có quyền truy cập tối thiểu vào một hệ thống dễ bị tấn công có thể khai thác các lỗ hổng được báo cáo để có được quyền truy cập root đầy đủ.

Nhà nghiên cứu bảo mật chính của Microsoft, Jonathan Bar Or nói với Gadgets 360 rằng các lỗ hổng đã được sửa trong phiên bản mới nhất của trình điều phối mạng. Người dùng sẽ có thể tìm thấy phiên bản mới trong bản cập nhật systemd trên máy Linux của họ. Nếu không, họ có thể triển khai các bản vá bằng cách cài đặt thủ công bản dựng điều phối mạng mới nhất.

Pencil