TẤN CÔNG NGƯỢC RDP CŨNG CHO PHÉP THOÁT KHỎI MÁY KHÁCH ĐẾN MÁY CHỦ TRONG MICROSOFT HYPER-V

TẤN CÔNG NGƯỢC RDP CŨNG CHO PHÉP THOÁT KHỎI MÁY KHÁCH ĐẾN MÁY CHỦ TRONG MICROSOFT HYPER-V

TẤN CÔNG NGƯỢC RDP CŨNG CHO PHÉP THOÁT KHỎI MÁY KHÁCH ĐẾN MÁY CHỦ TRONG MICROSOFT HYPER-V
TẤN CÔNG NGƯỢC RDP CŨNG CHO PHÉP THOÁT KHỎI MÁY KHÁCH ĐẾN MÁY CHỦ TRONG MICROSOFT HYPER-V

Ghi nhớ cuộc tấn công RDP ngược ?

Đầu năm nay, các nhà nghiên cứu đã tiết lộ các vấn đề chiếm quyền điều khiển và truy cập đường truyền trong máy khách RDP tích hợp Windows của Microsoft có thể cho phép máy chủ RDP độc hại thỏa hiệp với máy tính của khách hàng.

(Bạn có thể tìm thấy chi tiết và trình diễn video về lỗ hổng bảo mật này, cùng với hàng tá lỗi nghiêm trọng trong các máy khách RDP của bên thứ ba khác, trong một bài viết trước đây được viết bởi Swati Khandelwal cho The Hacker News.)

Vào thời điểm các nhà nghiên cứu báo cáo có trách nhiệm vấn đề truyền tải đến Microsoft, vào tháng 10 năm 2018, công ty đã thừa nhận vấn đề này, còn được gọi là " lỗ hổng RDP bị đầu độc ", nhưng đã quyết định không giải quyết nó.

Bây giờ, hóa ra Microsoft đã âm thầm vá lỗ hổng này  (CVE-2019-0887) vào tháng trước như là một phần của bản cập nhật Bản vá tháng 7 sau Eyal Itkin, nhà nghiên cứu bảo mật tại Checkpoint, cũng phát hiện ra vấn đề tương tự ảnh hưởng đến công nghệ Hyper-V của Microsoft. .

Hyper-V của Microsoft là một công nghệ ảo hóa được tích hợp sẵn với hệ điều hành Windows, cho phép người dùng chạy nhiều hệ điều hành cùng lúc với các máy ảo. Dịch vụ đám mây Azure của Microsoft cũng sử dụng Hyper-V để ảo hóa máy chủ.

Tương tự như các công nghệ ảo hóa khác, Hyper-V cũng đi kèm với giao diện người dùng đồ họa cho phép người dùng quản lý các máy ảo (VM) cục bộ và từ xa.

Theo báo cáo, các nhà nghiên cứu của Checkpoint đã chia sẻ với The Hacker News, Chế độ phiên nâng cao trong Trình quản lý Hyper-V của Microsoft, đằng sau hậu trường, sử dụng cách triển khai tương tự như Windows Remote Desktop Services để cho máy chủ kết nối với máy ảo khách và chia sẻ tài nguyên được đồng bộ hóa như dữ liệu clipboard.
 

"Hóa ra RDP được sử dụng phía sau hậu trường làm mặt phẳng điều khiển cho Hyper-V. Thay vì thực hiện lại việc chia sẻ màn hình, bàn phím từ xa và bảng tạm được đồng bộ hóa, Microsoft đã quyết định rằng tất cả các tính năng này đã được triển khai như một phần của RDP, vậy tại sao không sử dụng nó trong trường hợp này? " Các nhà nghiên cứu nói.


Điều này có nghĩa là, Trình quản lý Hyper-V cuối cùng thừa hưởng tất cả các lỗ hổng bảo mật có trong Windows RDP, bao gồm các lỗ hổng trong bảng tạm và các lỗ hổng truyền tải đường dẫn có thể dẫn đến tấn công thoát VM từ máy chủ đến máy chủ, "cho phép một người thoát khỏi một cuộc tấn công VM Máy ảo và tiếp cận máy chủ lưu trữ, hầu như phá vỡ sự giảm thiểu bảo mật mạnh nhất do môi trường ảo hóa cung cấp. "

Như đã trình bày trước đây, các lỗ hổng có thể cho phép một máy khách độc hại hoặc bị xâm nhập để lừa người dùng máy chủ vô tình lưu tệp độc hại trong thư mục khởi động Windows của họ, nó sẽ tự động được thực thi mỗi khi hệ thống khởi động.
 

"Một máy chủ RDP độc hại có thể gửi một nội dung clipboard chuyển tập tin được tạo thủ công sẽ gây ra Đường dẫn trên máy của khách hàng", các nhà nghiên cứu giải thích.


Không giống như trước đây, lần này, Microsoft đã quyết định vá lỗ hổng ngay lập tức sau khi các nhà nghiên cứu tiết lộ hàm ý Hyper-V của lỗ hổng này, hiện được xác định là CVE-2019-0887 .
 

"Bảng tạm được chia sẻ cho phép người dùng sao chép một nhóm tệp từ một máy tính và dán các tệp đã nói vào một máy tính khác. Nếu máy khách không chuẩn hóa đúng cách và vệ sinh đường dẫn tệp mà nó nhận được, nó có thể dễ bị tấn công theo đường dẫn, cho phép một máy chủ RDP độc hại thả các tệp tùy ý vào các đường dẫn tùy ý trên máy khách ", Microsoft nói trong khi giải thích lỗ hổng trong bài đăng blog mới nhất của mình .

 

"Kẻ tấn công khai thác thành công lỗ hổng này có thể thực thi mã tùy ý trên hệ thống nạn nhân. Kẻ tấn công sau đó có thể cài đặt chương trình, xem, thay đổi hoặc xóa dữ liệu hoặc tạo tài khoản mới với toàn quyền người dùng."


Các nhà nghiên cứu đã kiểm tra và xác nhận bản vá cho lỗ hổng Path-Traversal và khuyến nghị mạnh mẽ tất cả người dùng cài đặt bản vá bảo mật trong nỗ lực bảo vệ các kết nối RDP cũng như môi trường Hyper-V của họ.