Xóa tệp tùy ý trong Tanium End-User Notifications Endpoint Tools

Tanium đã khắc phục một lỗ hổng cho phép xóa tệp tùy ý trong End-User Notifications Endpoint Tools.

• End-User Notifications phiên bản 1.18.0 đến trước 1.18.10079 bị ảnh hưởng.
• End-User Notifications phiên bản 10.0.0 đến trước 10.0.14 bị ảnh hưởng.
• End-User Notifications phiên bản 10.1.0 đến trước 10.1.20 bị ảnh hưởng.
• Trong nhánh Tanium 7.4 và 7.5, End-User Notifications trước 1.18.1112 được Tanium liệt kê là bị ảnh hưởng.
• Trong nhánh 2024H1, Endpoint Configuration Toolset Solution trước Update 16, tương ứng v1.40.48, được liệt kê là bị ảnh hưởng.
• Trong nhánh 2024H2, Endpoint Configuration Toolset Solution trước Update 5, tương ứng v1.47.16, được liệt kê là bị ảnh hưởng.
• Trạng thái của các nhánh hoặc sản phẩm khác không được xác lập bởi bằng chứng hiện có.

Tanium End-User Notifications Endpoint Tools có lỗi được phân loại là CWE-59, trong đó việc xử lý liên kết trước khi truy cập tệp không được bảo vệ đúng cách. Ở mức khái quát, kẻ tấn công cục bộ có quyền truy cập đặc quyền vào hệ thống đang chạy Tanium Client có thể khiến công cụ thao tác với một tệp hoặc đích filesystem ngoài dự kiến, dẫn đến xóa hoặc ghi đè tệp tùy ý. Tư vấn của Tanium không công bố routine xử lý tệp, đường dẫn, điều kiện liên kết hoặc payload cụ thể, vì vậy chi tiết triển khai chính xác vẫn chưa rõ. Phạm vi được xác nhận bao gồm các nhánh End-User Notifications bị ảnh hưởng và Endpoint Configuration Toolset Solution được liệt kê trong tư vấn của nhà cung cấp.

Lỗ hổng có thể bị khai thác cục bộ trên hệ thống chạy Tanium Client và không yêu cầu tương tác của người dùng. Dữ liệu chuẩn hóa mô tả độ phức tạp khai thác thấp, nhưng các nguồn chấm điểm không thống nhất về mức đặc quyền chính xác: một mục của Tanium ghi nhận mức đặc quyền thấp, còn NVD ghi nhận mức đặc quyền cao; tư vấn của Tanium mô tả điều kiện là có quyền truy cập đặc quyền. Bản ghi đánh dấu không có public exploit, nhưng điều này không chứng minh rằng chưa từng có khai thác trong thực tế. Không có campaign, nạn nhân, payload hoặc quan sát khai thác cụ thể nào được cung cấp.

Kết quả kỹ thuật trực tiếp là xóa hoặc ghi đè tệp tùy ý, làm suy giảm tính toàn vẹn của filesystem và có khả năng ảnh hưởng đến khả dụng của hệ thống. Khai thác cần tiếp cận cục bộ và quyền truy cập phù hợp trên máy chạy Tanium Client; không có tương tác người dùng theo dữ liệu chuẩn hóa. Lỗ hổng không được mô tả là mở rộng phạm vi đặc quyền hoặc ảnh hưởng đến hệ thống khác. Tổ chức có thể phải khôi phục tệp, sửa cấu hình hoặc xử lý gián đoạn dịch vụ nếu các tệp quan trọng bị tác động, nhưng mức độ thực tế phụ thuộc vào quyền filesystem và đích mà công cụ có thể xử lý.

Lỗ hổng có thể cho phép một người dùng cục bộ đã có quyền truy cập phù hợp xóa hoặc ghi đè các tệp mà công cụ đáng ra không được phép tác động đến. Hậu quả có thể gồm thay đổi cấu hình, làm hỏng dữ liệu hoặc gây gián đoạn dịch vụ nếu tệp quan trọng bị xóa hay sửa đổi. Phạm vi ảnh hưởng phụ thuộc vào quyền của tiến trình, quyền filesystem và tệp mà thao tác có thể tiếp cận; các chi tiết này chưa được công bố đầy đủ. Dữ liệu tác động được cung cấp không xác định việc đọc hoặc tiết lộ nội dung tệp là kết quả của lỗ hổng.

1. Nâng cấp End-User Notifications khỏi các phạm vi bị ảnh hưởng và sử dụng các ranh giới phiên bản được xác nhận là 1.18.10079, 10.0.14 hoặc 10.1.20 cho nhánh tương ứng.
2. Đối với triển khai Tanium 7.4 và 7.5, cập nhật End-User Notifications lên v1.18.1112 hoặc bản phát hành sau đó theo hướng dẫn của Tanium.
3. Đối với nhánh 2024H1, cập nhật Endpoint Configuration Toolset Solution lên Update 16, tương ứng v1.40.48, hoặc bản phát hành sau đó.
4. Đối với nhánh 2024H2, cập nhật Endpoint Configuration Toolset Solution lên Update 5, tương ứng v1.47.16, hoặc bản phát hành sau đó.
5. Khách hàng Tanium on-premises sử dụng ECM nên dùng Change Management trong Endpoint Configuration để triển khai Manifest 2.2.135 hoặc 2.9.34 theo hướng dẫn nhà cung cấp. Khách hàng Tanium Cloud sử dụng ECM nên triển khai Manifest 2.11.44 hoặc 2.12.43.
6. Tanium không liệt kê workaround hoặc mitigation nào. Sau khi cập nhật, xác minh lại inventory trên toàn bộ endpoint thay vì chỉ kiểm tra máy chủ quản lý.

1. Kiểm kê các endpoint đang chạy Tanium Client và xác định có cài End-User Notifications hoặc Endpoint Configuration Toolset Solution hay không.
2. Đối chiếu phiên bản End-User Notifications với các nhánh 1.18, 10.0 và 10.1, đồng thời kiểm tra các nhánh Tanium 7.4, 7.5, 2024H1 và 2024H2 được tư vấn nhà cung cấp nêu rõ.
3. Kiểm tra phiên bản Endpoint Configuration Toolset Solution và các Manifest ECM được triển khai cho endpoint, đặc biệt trong môi trường on-premises hoặc Tanium Cloud.
4. Rà soát telemetry filesystem để tìm các thao tác xóa hoặc ghi đè bất thường do tiến trình Tanium thực hiện, nhưng coi đây là biện pháp giám sát phòng ngừa vì nguồn không cung cấp log event hoặc IOC cụ thể.
5. Việc không thấy log đáng ngờ không chứng minh endpoint an toàn; cần xác nhận bằng inventory và đối chiếu phiên bản.