Entropy yếu làm lộ credential đã mã hóa trong Thales CPL Safenet Authentication Service

Một người dùng của máy được bảo vệ bởi SafeNet Agent for Windows Logon có thể lợi dụng entropy yếu để truy cập credential đã mã hóa của bất kỳ hoặc tất cả người dùng trên máy đó.

• Sản phẩm: Thales CPL Safenet Authentication Service triển khai thành phần Windows Logon Agent.
• Nhánh bị ảnh hưởng: các phiên bản Windows Logon Agent nhỏ hơn 3.4.4 được đánh dấu là bị ảnh hưởng.
• Bằng chứng hiện có không cung cấp nhánh phát hành song song, điều kiện nền tảng bổ sung hoặc tuyên bố riêng cho các nhánh khác; không nên suy ra trạng thái của các nhánh chưa được xác minh.

Lỗ hổng bắt nguồn từ entropy không đủ trong cơ chế bảo vệ các credential đã mã hóa của Windows Logon Agent. Theo đánh giá của CNA, người dùng đã có quyền truy cập cục bộ vào máy được bảo vệ có thể, trong điều kiện khai thác phức tạp và có tương tác người dùng, lợi dụng điểm yếu này để truy cập credential của một hoặc nhiều người dùng trên cùng máy. Đánh giá của CNA mô tả phạm vi ảnh hưởng có thể vượt qua ranh giới tài khoản người dùng, nhưng không xác định một điểm vào từ xa. Bằng chứng hiện có không nêu rõ nguồn entropy, cơ chế sinh hoặc dẫn xuất khóa, vị trí lưu trữ, tương tác chính xác của người dùng hay tham số cụ thể do kẻ tấn công kiểm soát, vì vậy không nên tự suy đoán các chi tiết này.

Đánh giá của CNA mô tả khả năng khai thác cục bộ, yêu cầu quyền hạn thấp, độ phức tạp cao và có tương tác người dùng. Nội dung mô tả không xác nhận khả năng khai thác từ xa. NVD hiển thị một đánh giá khác theo hướng mạng, nhưng sự khác biệt này không đủ để xác nhận đường khai thác từ xa cho sản phẩm; entry này ưu tiên mô tả sản phẩm và đánh giá của CNA. Bằng chứng được cung cấp không xác nhận exploit công khai, hoạt động khai thác thực tế, chiến dịch ransomware hoặc chỉ dấu khai thác cụ thể; trạng thái này nên được xem là chưa xác định, không phải là khẳng định không có khai thác.

Lỗ hổng có thể làm lộ credential đã mã hóa của một hoặc nhiều người dùng trên cùng máy, vượt qua ranh giới tài khoản mà cơ chế bảo vệ dự kiến duy trì. Đánh giá của CNA cũng cho thấy khả năng ảnh hưởng đến tính toàn vẹn, vì credential của tài khoản khác có thể cho phép thực hiện hành động thay mặt tài khoản đó; tuy nhiên, khả năng cụ thể sau khi truy cập credential chưa được mô tả. Tác động đến tính sẵn sàng không được xác định trong đánh giá của CNA. Hệ quả thực tế phụ thuộc vào loại tài khoản, quyền truy cập của từng tài khoản và tài nguyên mà chúng có thể sử dụng.

Credential được bảo vệ trên máy có thể bị truy cập bởi người dùng cục bộ không được phép, làm tăng nguy cơ lộ thông tin xác thực của một hoặc nhiều tài khoản. Nếu credential bị lạm dụng, tác động có thể mở rộng sang tài nguyên hoặc thao tác được các tài khoản đó cho phép, nhưng bằng chứng hiện có không xác nhận một kịch bản xâm nhập, nạn nhân hay sự cố cụ thể nào. Do lỗ hổng có thể ảnh hưởng đến nhiều người dùng trên cùng máy, một máy trạm hoặc máy chủ có nhiều tài khoản cần được ưu tiên đánh giá. Việc xác định credential nào có khả năng đã bị truy cập và có cần thay đổi chúng hay không nên được thực hiện theo chính sách ứng phó của tổ chức.

1. Nâng cấp các triển khai bị ảnh hưởng lên Windows Logon Agent phiên bản 3.4.4, là ranh giới được ghi nhận loại trừ các phiên bản bị ảnh hưởng. Xác nhận hướng dẫn và gói cập nhật phù hợp với Thales CPL trước khi triển khai rộng.
2. Kiểm kê lại toàn bộ máy sau khi cập nhật để xác nhận thành phần agent thực tế đã được thay thế và không còn phiên bản nằm trong phạm vi bị ảnh hưởng. Không mặc định rằng các nhánh phát hành khác đã được bao phủ nếu chưa có xác nhận riêng.
3. Nếu chưa thể cập nhật ngay, giảm quyền truy cập cục bộ không đáng tin cậy vào các máy chứa credential được agent bảo vệ và tăng cường kiểm soát truy cập vật lý, phiên đăng nhập và quyền của người dùng như biện pháp bù trừ tạm thời.
4. Đánh giá credential trên các máy có khả năng đã bị người dùng cục bộ không đáng tin cậy truy cập. Nếu không thể loại trừ việc lộ credential, thay đổi hoặc thu hồi chúng theo quy trình quản lý danh tính và ứng phó sự cố của tổ chức.

• Kiểm kê các máy Windows triển khai Thales CPL Safenet Authentication Service và thành phần Windows Logon Agent.
• Đối chiếu phiên bản cài đặt với ranh giới bị ảnh hưởng và hướng dẫn cập nhật của nhà cung cấp; ưu tiên các máy có nhiều tài khoản người dùng hoặc lưu credential được agent bảo vệ.
• Kiểm tra hồ sơ triển khai, nhật ký cập nhật và trạng thái quản lý phần mềm để xác nhận máy đã nhận bản sửa phù hợp.
• Không có IOC, sự kiện log, đường dẫn tệp, endpoint hoặc lệnh đặc thù được nhà cung cấp xác nhận trong bằng chứng hiện có. Việc theo dõi truy cập cục bộ bất thường chỉ là biện pháp phòng ngừa và việc không thấy log bất thường không chứng minh hệ thống an toàn.