Mã khai thác bằng chứng khái niệm đã xuất hiện trên GitHub về lỗ hổng vượt qua xác thực quan trọng trong Microsoft SharePoint Server, cho phép leo thang đặc quyền.
Được theo dõi là CVE-2023-29357 , lỗ hổng bảo mật có thể cho phép những kẻ tấn công không được xác thực có được đặc quyền của quản trị viên sau khi khai thác thành công trong các cuộc tấn công có độ phức tạp thấp không yêu cầu sự tương tác của người dùng.
“Kẻ tấn công đã giành được quyền truy cập vào mã thông báo xác thực JWT giả mạo có thể sử dụng chúng để thực hiện một cuộc tấn công mạng bỏ qua xác thực và cho phép chúng có quyền truy cập vào các đặc quyền của người dùng đã được xác thực”, Microsoft giải thích vào tháng 6 khi vá lỗ hổng này.
Vào ngày 25 tháng 9, nhà nghiên cứu Nguyễn Tiến Giang ( Janggggg ) của STAR Labs đã công bố một phân tích kỹ thuật mô tả quá trình khai thác một chuỗi lỗ hổng.
Chúng bao gồm lỗi CVE-2023-29357 và lỗ hổng nghiêm trọng thứ hai được xác định là CVE-2023–24955 , tạo điều kiện thuận lợi cho việc thực thi mã từ xa thông qua việc chèn lệnh.
Janggggg đã đạt được RCE thành công trên Máy chủ Microsoft SharePoint bằng cách sử dụng chuỗi khai thác này trong cuộc thi Pwn2Own vào tháng 3 năm 2023 tại Vancouver, kiếm được phần thưởng 100.000 USD .
Một ngày sau khi phân tích kỹ thuật được công bố, một khai thác bằng chứng khái niệm cho lỗ hổng leo thang đặc quyền CVE-2023-29357 đã xuất hiện trên GitHub.
Mặc dù cách khai thác này không cho phép kẻ tấn công thực thi mã từ xa vì nó không bao gồm toàn bộ chuỗi khai thác được trình bày tại Pwn2Own Vancouver, nhưng tác giả làm rõ rằng kẻ tấn công có thể kết hợp nó với lỗi chèn lệnh CVE-2023-24955 để đạt được mục tiêu này.
Nhà phát triển khai thác cho biết : “Tập lệnh đưa ra thông tin chi tiết về người dùng quản trị viên với các đặc quyền nâng cao và có thể hoạt động ở cả chế độ khai thác đơn lẻ và khai thác hàng loạt” .
"Tuy nhiên, để duy trì lập trường đạo đức, tập lệnh này không chứa các chức năng thực hiện RCE và chỉ nhằm mục đích giáo dục cũng như thử nghiệm hợp pháp và được ủy quyền."
Quy tắc YARA cũng có sẵn để giúp những người bảo vệ mạng phân tích nhật ký để tìm các dấu hiệu khai thác tiềm ẩn trên máy chủ SharePoint của họ bằng cách sử dụng cách khai thác CVE-2023-29357 PoC.
Mặc dù cách khai thác hiện tại không cấp khả năng thực thi mã từ xa ngay lập tức nhưng chúng tôi khuyên bạn nên áp dụng các bản vá bảo mật do Microsoft phát hành đầu năm nay như một biện pháp phòng ngừa trước các cuộc tấn công tiềm ẩn.
Hiện tại, Janggggg đã công bố chi tiết kỹ thuật cho cả hai lỗ hổng, việc các tác nhân đe dọa hoặc các nhà nghiên cứu bảo mật khác tái tạo toàn bộ chuỗi khai thác để thực thi mã từ xa chỉ còn là vấn đề thời gian.
Không có nhận xét nào:
Đăng nhận xét