Lỗi quyền trong Windows installer của Elastic APM Server có thể dẫn đến leo thang đặc quyền cục bộ

Một lỗ hổng trong phần tử search path không được kiểm soát có thể dẫn đến leo thang đặc quyền cục bộ (LPE) thông qua quyền thư mục không an toàn. Lỗ hổng phát sinh do việc xử lý quyền thư mục không đúng. Kẻ tấn công có quyền truy cập cục bộ có thể lợi dụng lỗi này để di chuyển và xóa các tệp tùy ý, từ đó có khả năng đạt được đặc quyền SYSTEM.

• Elastic APM Server trên Windows được cài đặt thông qua install-service script:
• Nhánh 8.16: bị ảnh hưởng đến và bao gồm 8.16.2.
• Nhánh 8.17: bị ảnh hưởng đến và bao gồm 8.17.0.
• Elastic xác nhận vấn đề được xử lý trong 8.16.3 và 8.17.1.
• Advisory không xác nhận trạng thái của các nhánh song song hoặc nhánh phát hành khác; không nên suy ra rằng các nhánh đó tự động không bị ảnh hưởng.

Elastic APM Server bị ảnh hưởng bởi lỗi Uncontrolled Search Path Element (CWE-427) liên quan đến việc xử lý không đúng quyền thư mục. Phạm vi được xác nhận là APM Server được cài đặt trên Windows thông qua install-service script. Kẻ tấn công cần quyền truy cập cục bộ và có thể lợi dụng lỗi để di chuyển hoặc xóa các tệp tùy ý; hậu quả có thể là thực thi với đặc quyền SYSTEM. Bản công khai không nêu thư mục cụ thể, tệp thực thi cụ thể hoặc cơ chế phân giải search path chi tiết, vì vậy không nên suy đoán thêm về chuỗi khai thác.

Đây là lỗi có thể khai thác từ cục bộ, không phải qua mạng từ xa. Hồ sơ mô tả yêu cầu quyền thấp, độ phức tạp khai thác cao và không yêu cầu tương tác của người dùng. Hồ sơ được cung cấp không xác định exploit công khai; metadata lỗ hổng được trả về cũng ghi nhận trạng thái exploitation là none và automatable là no trong phạm vi đánh giá đó. Điều này không chứng minh rằng không có khai thác chưa được công bố hoặc khai thác trong tương lai.

Lỗi có thể cho phép tài khoản cục bộ có quyền thấp di chuyển hoặc xóa tệp tùy ý thông qua quyền thư mục không an toàn trong cấu hình cài đặt bị ảnh hưởng. Hậu quả được mô tả là có khả năng đạt đặc quyền SYSTEM, với nguy cơ ảnh hưởng đến tính bảo mật, tính toàn vẹn và tính sẵn sàng của máy Windows. Phạm vi được đánh giá là không thay đổi, nên tác động trực tiếp tập trung trên hệ thống đang chạy APM Server và máy chủ cài đặt nó. Hồ sơ không cung cấp bằng chứng về một cuộc xâm nhập cụ thể, cũng không mô tả chi tiết thư mục hoặc tệp bị nhắm mục tiêu.

Rủi ro tập trung vào các triển khai Elastic APM Server trên Windows được cài đặt bằng install-service script.

• Một tài khoản cục bộ có thể gây thay đổi hoặc mất tệp tùy ý, làm gián đoạn dịch vụ hoặc ảnh hưởng đến tính toàn vẹn của máy chủ.
• Nếu đạt được đặc quyền SYSTEM, kẻ tấn công có thể mở rộng tác động từ dữ liệu và tiến trình của APM Server sang phạm vi rộng hơn trên máy Windows.
• Do không có bằng chứng trong hồ sơ về một vụ xâm nhập cụ thể, không nên kết luận rằng tổ chức đã bị xâm phạm; cần ưu tiên xác định phạm vi triển khai và áp dụng bản sửa.

1. Nâng cấp Elastic APM Server trên Windows lên 8.16.3 đối với nhánh 8.16, hoặc lên 8.17.1 đối với nhánh 8.17, theo nhánh triển khai tương ứng.
2. Nếu chưa thể nâng cấp ngay, xác định và giảm phạm vi các cài đặt sử dụng Windows install-service script, đồng thời rà soát quyền thư mục liên quan đến service installation để loại bỏ quyền ghi không cần thiết.
3. Kiểm kê lại sau thay đổi để xác nhận phiên bản và phương thức cài đặt của từng máy. Không coi việc chạy một bản sửa ở một nhánh là bằng chứng rằng mọi nhánh khác đều đã được xử lý.

1. Kiểm kê các máy Windows đang chạy Elastic APM Server và xác định phương thức cài đặt.
2. Xác định những máy sử dụng Windows install-service script, vì advisory của Elastic giới hạn cấu hình bị ảnh hưởng ở phương thức này.
3. Đối chiếu phiên bản đang triển khai với các nhánh bị ảnh hưởng và các bản sửa được nêu trong phần affected_summary và remediation.
4. Rà soát quyền của các thư mục liên quan đến service installation để phát hiện quyền ghi hoặc sửa đổi không phù hợp với tài khoản cục bộ.
5. Kiểm tra telemetry về việc di chuyển hoặc xóa tệp bất thường và các thay đổi đặc quyền quanh service. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được xác nhận; việc không thấy sự kiện không chứng minh hệ thống an toàn.