Lỗi double free trong Microsoft Windows Kerberos cho phép nâng đặc quyền cục bộ

Lỗi double free trong Windows Kerberos cho phép kẻ tấn công đã được cấp quyền nâng đặc quyền cục bộ.

• Microsoft Windows 10 Version 1607: ảnh hưởng từ 10.0.14393.0 đến trước 10.0.14393.9612.
• Microsoft Windows 10 Version 1809: ảnh hưởng từ 10.0.17763.0 đến trước 10.0.17763.9376.
• Microsoft Windows 10 Version 21H2: ảnh hưởng từ 10.0.19044.0 đến trước 10.0.19044.7807.
• Microsoft Windows 10 Version 22H2: ảnh hưởng từ 10.0.19045.0 đến trước 10.0.19045.7807.
• Microsoft Windows 11 Version 23H2: ảnh hưởng từ 10.0.22631.0 đến trước 10.0.22631.7652 trên các nền tảng ARM64 và x64.
• Microsoft Windows Server 2016, gồm Server Core installation: ảnh hưởng từ 10.0.14393.0 đến trước 10.0.14393.9612.
• Microsoft Windows Server 2019, gồm Server Core installation: ảnh hưởng từ 10.0.17763.0 đến trước 10.0.17763.9376.
• Microsoft Windows Server 2022: ảnh hưởng từ 10.0.20348.0 đến trước 10.0.20348.5761.
• Microsoft Windows Server 2025, gồm Server Core installation: ảnh hưởng từ 10.0.26100.0 đến trước 10.0.26100.33650.

Các nhánh hoặc nền tảng không được liệt kê trong dữ liệu ảnh hưởng không nên được xem là đã được xác nhận an toàn nếu chưa được đối chiếu với hướng dẫn cập nhật tương ứng của Microsoft.

Microsoft Windows Kerberos có lỗi double free, thuộc CWE-415, trong đó cùng một vùng nhớ có thể bị giải phóng lặp lại. Việc này có thể gây memory corruption và tạo điều kiện cho nâng đặc quyền cục bộ, nhưng bản ghi không mô tả object, code path, hàm Kerberos hay dữ liệu đầu vào cụ thể dẫn đến lỗi. Khả năng tiếp cận được xác nhận là cục bộ: kẻ tấn công cần có đặc quyền thấp trên hệ thống, không cần tương tác với người dùng, và độ phức tạp khai thác được đánh giá là cao. Bản ghi không xác định thông điệp Kerberos, request hoặc điều kiện runtime cụ thể mà kẻ tấn công phải tạo ra.

Khai thác yêu cầu quyền truy cập cục bộ và một tài khoản có đặc quyền thấp. Không cần người dùng khác tương tác, nhưng điều kiện khai thác có độ phức tạp cao. Bản ghi được cung cấp không ghi nhận public exploit; phần CISA ADP được trả về cùng dữ liệu cũng đánh dấu trạng thái exploitation là none. Trạng thái này không đảm bảo rằng lỗ hổng sẽ không bị khai thác trong tương lai và không cung cấp các bước khai thác có thể tái tạo.

Lỗi này có thể cho phép một kẻ tấn công cục bộ đã có đặc quyền thấp nâng quyền trên hệ thống Windows bị ảnh hưởng. Vector được cung cấp cho thấy không cần user interaction, phạm vi ảnh hưởng không thay đổi, và việc khai thác thành công có thể tác động đến tính bảo mật, toàn vẹn và sẵn sàng của hệ thống. Tác động tổ chức có thể bao gồm mở rộng quyền của một tài khoản cục bộ đã bị xâm nhập, truy cập hoặc sửa đổi tài nguyên trái phép, và gây gián đoạn dịch vụ. Bản ghi không xác định quyền đích, mức kiểm soát sau khi nâng quyền, hay phạm vi lan truyền sang hệ thống khác.

• Người dùng cục bộ có đặc quyền thấp có thể có được quyền cao hơn trên hệ thống bị ảnh hưởng nếu khai thác thành công.
• Hậu quả tiềm ẩn bao gồm truy cập hoặc thay đổi dữ liệu ngoài phạm vi quyền ban đầu và ảnh hưởng đến tính sẵn sàng của hệ thống.
• Trên máy chủ, việc nâng đặc quyền có thể làm tăng phạm vi ảnh hưởng của một tài khoản cục bộ đã bị xâm nhập.
• Bản ghi không xác nhận một vụ xâm nhập, chiến dịch, nạn nhân hoặc vi phạm dữ liệu cụ thể nào.

1. Cài đặt bản cập nhật bảo mật của Microsoft cho mọi hệ thống thuộc phạm vi ảnh hưởng.
2. Đối với Windows 10 Version 1607 và Windows Server 2016, triển khai bản cập nhật đưa nhánh hệ điều hành đến boundary 10.0.14393.9612.
3. Đối với Windows 10 Version 1809 và Windows Server 2019, triển khai bản cập nhật đưa nhánh hệ điều hành đến boundary 10.0.17763.9376.
4. Đối với Windows 10 Version 21H2, triển khai bản cập nhật đưa nhánh hệ điều hành đến boundary 10.0.19044.7807; đối với Windows 10 Version 22H2, dùng boundary 10.0.19045.7807.
5. Đối với Windows 11 Version 23H2, triển khai bản cập nhật đưa nhánh hệ điều hành đến boundary 10.0.22631.7652 trên nền tảng phù hợp.
6. Đối với Windows Server 2022 và Windows Server 2025, triển khai lần lượt bản cập nhật đưa các nhánh đến boundary 10.0.20348.5761 và 10.0.26100.33650; áp dụng cả cho các bản cài đặt Server Core tương ứng.
7. Sau khi triển khai, xác minh OS build và trạng thái cài đặt bản cập nhật trên từng tài sản. Bằng chứng được cung cấp không nêu một workaround đã được xác nhận, vì vậy không nên thay thế việc vá lỗi bằng biện pháp giảm nhẹ chưa được Microsoft xác thực.

1. Kiểm kê các máy trạm và máy chủ Microsoft Windows có sử dụng Windows Kerberos, sau đó đối chiếu phiên bản hệ điều hành với các nhánh bị ảnh hưởng trong phần phạm vi ảnh hưởng.
2. Kiểm tra OS build và lịch sử cài đặt security update trên từng tài sản để xác định hệ thống đã đạt boundary bản sửa lỗi tương ứng hay chưa.
3. Ưu tiên rà soát các hệ thống mà người dùng cục bộ không đáng tin cậy có thể đăng nhập, vì điều kiện khai thác yêu cầu quyền truy cập cục bộ với đặc quyền thấp.
4. Có thể theo dõi bổ sung các dấu hiệu bất thường liên quan đến hoạt động nâng đặc quyền hoặc lỗi tiến trình, nhưng đây chỉ là biện pháp phòng ngừa; không có IOC hoặc sự kiện log cụ thể nào được xác nhận trong bằng chứng hiện có.
5. Việc không thấy sự kiện đáng ngờ không chứng minh hệ thống an toàn; cần xác nhận bằng inventory và trạng thái bản cập nhật.