Lỗi xác thực chứng chỉ trong Microsoft Visual Studio cho phép giả mạo qua mạng

Việc xác thực chứng chỉ không đúng cách trong Visual Studio cho phép kẻ tấn công không được ủy quyền thực hiện giả mạo qua mạng.

• Microsoft Visual Studio 2017 version 15.9: affected bắt đầu từ 15.9.0 và gồm các phiên bản nhỏ hơn 15.9.84.
• Microsoft Visual Studio 2019 version 16.11: affected bắt đầu từ 16.11.0 và gồm các phiên bản nhỏ hơn 16.11.62.
• Microsoft Visual Studio 2022 version 17.14: affected bắt đầu từ 17.14.0 và gồm các phiên bản nhỏ hơn 17.14.44.
• Microsoft Visual Studio 2026 version 18.11: affected bắt đầu từ 18.11.0 và gồm các phiên bản nhỏ hơn 18.11.3.

Bản ghi không xác định trạng thái của các nhánh Visual Studio khác ngoài bốn nhánh trên.

Microsoft Visual Studio có lỗi xác thực chứng chỉ không đúng cách, khiến quyết định tin cậy đối với chứng chỉ hoặc danh tính mạng có thể không được thực hiện chính xác. Theo bản ghi, kẻ tấn công không được ủy quyền có thể tiếp cận qua mạng và thực hiện spoofing, không cần quyền truy cập trước hoặc tương tác của người dùng, nhưng yêu cầu khai thác có độ phức tạp cao. Nếu khai thác thành công, Visual Studio có thể chấp nhận danh tính hoặc dữ liệu mạng bị giả mạo, đây là suy luận phù hợp với tác động được ghi nhận đối với tính bí mật và tính toàn vẹn. Bản ghi không xác định thành phần Visual Studio, giao thức, thuộc tính chứng chỉ hoặc đường dẫn xử lý cụ thể bị ảnh hưởng.

Lỗ hổng có thể bị tiếp cận qua mạng. Bản ghi mô tả kẻ tấn công không cần xác thực hoặc đặc quyền, đồng thời không cần người dùng tương tác, nhưng độ phức tạp khai thác được đánh giá là cao. Bản ghi không xác nhận việc khai thác thực tế và không cung cấp tham chiếu đến public exploit; các trường trạng thái khai thác và public exploit không có dữ liệu xác nhận. Không nên diễn giải sự thiếu vắng thông tin này là bằng chứng cho thấy không có hoạt động khai thác.

Khai thác thành công có thể cho phép giả mạo danh tính hoặc dữ liệu trong các tương tác mạng mà Visual Studio xử lý. Bản ghi mô tả tác động tiềm ẩn ở mức cao đối với tính bí mật và tính toàn vẹn, trong khi không xác định tác động đối với tính sẵn sàng. Hệ quả thực tế có thể gồm việc người dùng hoặc công cụ phát triển đưa ra quyết định dựa trên thông tin mạng bị giả mạo, nhưng bản ghi không xác định một workflow, dữ liệu hay hệ thống cụ thể. Phạm vi được mô tả là không thay đổi, nên tác động được ghi nhận vẫn nằm trong phạm vi của hệ thống bị ảnh hưởng.

Các đội phát triển và vận hành build sử dụng nhánh Microsoft Visual Studio bị ảnh hưởng có thể phải xử lý rủi ro giả mạo trong các tương tác mạng của công cụ phát triển. Nếu bị khai thác, kẻ tấn công có thể khiến phần mềm hoặc người vận hành tin vào danh tính mạng không hợp lệ, từ đó có khả năng làm lộ hoặc thay đổi dữ liệu được trao đổi. Tác động cụ thể đến workflow, loại dữ liệu hoặc hệ thống phụ thuộc chưa được bản ghi xác định. Do bản ghi mô tả khả năng truy cập qua mạng mà không cần đặc quyền, việc kiểm kê và cập nhật các hệ thống phát triển nên được ưu tiên.

1. Cập nhật Microsoft Visual Studio theo bản sửa lỗi của Microsoft để đưa từng nhánh ra khỏi phạm vi affected. Các ranh giới cần xác minh là 15.9.84 cho Visual Studio 2017 version 15.9, 16.11.62 cho Visual Studio 2019 version 16.11, 17.14.44 cho Visual Studio 2022 version 17.14 và 18.11.3 cho Visual Studio 2026 version 18.11.
2. Sau khi cập nhật, kiểm tra lại product branch và version thực tế trên từng máy trạm, máy chủ build và hệ thống tự động hóa.
3. Không gộp các nhánh phát hành với nhau khi đánh giá tình trạng đã sửa. Một ranh giới cập nhật của nhánh này không chứng minh trạng thái của nhánh khác.
4. Bản ghi không cung cấp biện pháp giảm thiểu tạm thời riêng của nhà cung cấp. Nếu chưa thể cập nhật, cần đánh dấu hệ thống còn trong phạm vi affected để xử lý theo kiểm soát nội bộ, thay vì coi các biện pháp mạng chung là bản sửa lỗi đã được xác nhận.

1. Kiểm kê tất cả cài đặt Microsoft Visual Studio trên máy trạm của lập trình viên, máy chủ build và các hệ thống tự động hóa phát triển.
2. Ghi nhận chính xác product branch và version của từng cài đặt, sau đó đối chiếu với các ranh giới affected và fixed được nêu trong affected_summary và remediation.
3. Xác định các hệ thống chưa được cập nhật theo bản sửa lỗi tương ứng của Microsoft và ưu tiên những hệ thống thực hiện kết nối mạng trong môi trường không hoàn toàn tin cậy.
4. Có thể rà soát network telemetry để tìm các thay đổi bất thường về danh tính chứng chỉ hoặc lỗi xác thực liên quan đến Visual Studio như một biện pháp thận trọng. Bản ghi không cung cấp IOC, sự kiện log, endpoint hoặc giao thức cụ thể, vì vậy không có log bất thường không chứng minh hệ thống an toàn.