Hàm nguy hiểm bị phơi bày cho phép leo thang đặc quyền lên SYSTEM trong Parallels RAS Client

Lỗ hổng leo thang đặc quyền cục bộ do hàm nguy hiểm bị phơi bày trong RAS RDP Backend Service của Parallels RAS Client. Lỗ hổng này cho phép kẻ tấn công cục bộ leo thang đặc quyền trên các bản cài đặt Parallels RAS Client bị ảnh hưởng. Kẻ tấn công trước hết phải có khả năng thực thi mã với đặc quyền thấp trên hệ thống đích để khai thác lỗ hổng này. Lỗi cụ thể tồn tại trong RAS RDP Backend Service. Vấn đề bắt nguồn từ một hàm nguy hiểm bị phơi bày. Kẻ tấn công có thể tận dụng lỗ hổng này để leo thang đặc quyền và thực thi mã tùy ý dưới ngữ cảnh SYSTEM. Được ghi nhận là ZDI-CAN-29220.

• Bản ghi CVE đánh dấu Parallels RAS Client phiên bản 21.0.26296 là bị ảnh hưởng.
• ZDI nêu rằng lỗi được sửa trong phiên bản 21.2.
• Trạng thái của các nhánh phát hành song song hoặc các phiên bản khác không được xác nhận đầy đủ trong bằng chứng hiện có; không nên suy luận rằng mọi phiên bản sau hoặc mọi nhánh khác đều không bị ảnh hưởng chỉ từ thông tin sửa lỗi này.

Parallels RAS Client chứa một hàm nguy hiểm bị phơi bày trong RAS RDP Backend Service, thuộc nhóm CWE-749. Kẻ tấn công trước hết phải có khả năng chạy mã với đặc quyền thấp trên máy đích, sau đó có thể khai thác hàm này để leo thang đặc quyền. Các đặc tính tấn công được cung cấp cho thấy cuộc tấn công là cục bộ và không cần người dùng tương tác. Chi tiết chính xác về tên hàm, giao diện gọi, tham số do kẻ tấn công kiểm soát hoặc lỗi kiểm tra quyền chưa được công bố trong bằng chứng hiện có. Khai thác thành công cho phép thực thi mã tùy ý dưới ngữ cảnh SYSTEM; bằng chứng hiện có không xác nhận đường tấn công từ xa hoặc cơ chế lan truyền sang máy khác.

Khả năng tiếp cận là cục bộ, và kẻ tấn công phải có sẵn khả năng chạy mã với đặc quyền thấp trên máy bị ảnh hưởng. Các đặc tính tấn công được cung cấp cho thấy độ phức tạp thấp, yêu cầu đặc quyền thấp và không cần người dùng tương tác. Bản ghi chuẩn đánh dấu public_exploit là false và không xác nhận trạng thái đã bị khai thác trong thực tế. Phần enrichment do CISA cung cấp và được lưu trữ trên GCVE ghi nhận Exploitation: none và Automatable: no; đây là đánh giá có phạm vi tại thời điểm ghi nhận, không phải bằng chứng rằng việc khai thác là không thể. Không có payload, chuỗi khai thác hoặc exploit công khai nào được cung cấp trong bằng chứng đã xem xét.

Kết quả kỹ thuật được xác nhận là leo thang đặc quyền cục bộ và thực thi mã tùy ý dưới ngữ cảnh SYSTEM trên máy bị ảnh hưởng. Quyền này có khả năng cho phép kẻ tấn công kiểm soát các hoạt động nhạy cảm của hệ điều hành, đọc hoặc sửa dữ liệu cục bộ, thay đổi cấu hình và gây gián đoạn dịch vụ. Vì yêu cầu ban đầu là khả năng chạy mã với đặc quyền thấp, lỗi này không tự cung cấp quyền truy cập ban đầu vào máy. Bằng chứng hiện có cũng không cho thấy việc khai thác làm thay đổi phạm vi bảo mật sang hệ thống khác hoặc tự động lan truyền.

Khai thác thành công có thể biến một foothold đặc quyền thấp trên máy trạm hoặc máy chủ chạy RAS Client thành quyền kiểm soát ở mức SYSTEM. Điều này có khả năng cho phép đọc dữ liệu mà tài khoản ban đầu không được phép truy cập, sửa đổi cấu hình hoặc phần mềm trên máy, và làm gián đoạn dịch vụ cục bộ. Rủi ro tập trung vào các hệ thống có cài RAS Client và đã cho phép mã không tin cậy chạy cục bộ. Lỗi này không tự chứng minh một kịch bản xâm nhập từ xa, đánh cắp dữ liệu hoặc lan truyền trong mạng.

1. Nâng cấp Parallels RAS Client lên phiên bản 21.2, là phiên bản được ZDI xác định đã sửa lỗi.
2. Kiểm kê lại toàn bộ hệ thống có RAS Client và xác nhận riêng từng nhánh phát hành thay vì chỉ dựa vào tên sản phẩm.
3. Nếu chưa thể triển khai bản sửa lỗi, hạn chế khả năng chạy mã không tin cậy với đặc quyền thấp trên các máy có RAS Client và tăng cường giám sát endpoint. Đây chỉ là biện pháp giảm rủi ro tạm thời, không phải workaround đã được nhà cung cấp xác nhận.
4. Không có giải pháp giảm nhẹ riêng hoặc hướng dẫn vô hiệu hóa thành phần được xác nhận trong bằng chứng hiện có.

1. Kiểm kê các máy có cài Parallels RAS Client và đối chiếu phiên bản với phạm vi bị ảnh hưởng trong bản ghi.
2. Xác minh sự hiện diện và trạng thái của RAS RDP Backend Service trên các máy đã xác định.
3. Ưu tiên rà soát telemetry endpoint trên những máy chạy phiên bản bị ảnh hưởng để tìm hoạt động bất thường của tiến trình cục bộ xung quanh service và các thay đổi bất ngờ do SYSTEM thực hiện. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được xác nhận.
4. Không có tên hàm, log signature hoặc chỉ dấu xâm nhập cụ thể nào được công bố. Việc không thấy log đáng ngờ không chứng minh máy an toàn.