OpenText Operations Agent: leo thang đặc quyền qua các vị trí thực thi có quyền ghi

Một cuộc đánh giá bảo mật đã xác định một lỗ hổng leo thang đặc quyền trong Operations Agent(<=OA 12.29) trên Windows. Trong những điều kiện cụ thể, Operations Agent có thể chạy các tệp thực thi từ những vị trí cụ thể có quyền ghi.Xin cảm ơn Manuel Rickli & Philippe Leiser của Oneconsult AG đã báo cáo lỗ hổng này.

• Sản phẩm: OpenText Operations Agent trên Windows.
• Phạm vi bị ảnh hưởng được hỗ trợ: từ OA 12.22 đến và bao gồm OA 12.29.
• Bản ghi đánh dấu OA 12.30 là không bị ảnh hưởng.
• default_status của sản phẩm là không bị ảnh hưởng ngoài phạm vi được khai báo, nhưng trạng thái của các nhánh song song hoặc phát hành mới hơn không nên được suy luận nếu chưa có bằng chứng riêng.
• Package liên quan là OvEaAgt; module được nêu là libopc_r.

Lỗ hổng được phân loại là CWE-280, liên quan đến việc xử lý không đúng các quyền hoặc đặc quyền không đầy đủ. Thành phần bị ảnh hưởng là package OvEaAgt, trong đó module libopc_r được xác định trong bản ghi ảnh hưởng. Trong những điều kiện cụ thể, Operations Agent có thể chạy các tệp thực thi từ những vị trí có quyền ghi.

Ở mức khái quát, một người dùng cục bộ có quyền ghi vào vị trí liên quan có thể khiến Operations Agent tiếp cận và chạy một tệp thực thi do người dùng kiểm soát. Nếu tiến trình đó chạy trong context có đặc quyền cao hơn, kết quả có thể là leo thang đặc quyền. Đây là diễn giải theo cơ chế được mô tả, không phải các bước khai thác hoàn chỉnh. Bản ghi không nêu điều kiện kích hoạt chính xác, tên các vị trí có quyền ghi, hay chi tiết về context của tiến trình được tạo.

Bản ghi mô tả khả năng khai thác qua local access, với độ phức tạp thấp và yêu cầu đặc quyền thấp. Đánh giá do OpenText cung cấp mô tả user interaction là thụ động, trong khi đánh giá riêng của NVD ghi nhận không yêu cầu tương tác người dùng; sự khác biệt này cần được giữ nguyên thay vì hợp nhất thành một điều kiện duy nhất.

Bản ghi được cung cấp không xác định public exploit và không đánh dấu trạng thái known exploited. Điều này chỉ có nghĩa là không có public exploit được xác định trong dữ liệu hiện có, không chứng minh rằng chưa từng có khai thác thực tế. Không có bằng chứng trong bản ghi cho thấy lỗ hổng có thể bị khai thác từ xa.

Khai thác thành công có thể cho phép người dùng cục bộ với đặc quyền thấp khiến Operations Agent chạy mã trong context có đặc quyền cao hơn. Hậu quả kỹ thuật có thể bao gồm mất tính bí mật, thay đổi tính toàn vẹn của hệ thống và ảnh hưởng đến tính sẵn sàng của host hoặc các dịch vụ liên quan, phù hợp với các mức tác động được cung cấp trong bản ghi.

Lỗ hổng được mô tả ở phạm vi local; bản ghi không thiết lập khả năng khai thác từ xa, lan truyền giữa các host, hay vượt qua phạm vi máy bị ảnh hưởng. Mức độ tác động thực tế phụ thuộc vào các điều kiện cụ thể, quyền của tiến trình Operations Agent và các vị trí mà agent có thể truy cập.

Một máy Windows bị ảnh hưởng có thể bị sử dụng để thực thi mã với đặc quyền cao hơn thông qua Operations Agent. Điều này có thể dẫn đến thay đổi trái phép đối với tệp hoặc cấu hình được bảo vệ, truy cập dữ liệu mà context nâng cao có quyền đọc, hoặc làm gián đoạn các dịch vụ phụ thuộc vào agent.

Rủi ro vận hành tập trung vào các host Windows nơi người dùng cục bộ hoặc tiến trình cục bộ có thể ghi vào vị trí được Operations Agent sử dụng để chạy tệp. Bản ghi không xác định một vụ xâm nhập, nạn nhân hoặc chiến dịch cụ thể; các tổ chức không nên suy luận từ điều đó rằng không có khai thác thực tế.

1. Áp dụng hotfix của OpenText cho đúng nhánh đang cài đặt và thực hiện hướng dẫn trong readme.txt đi kèm gói hotfix.
2. Các gói được liệt kê trong bản ghi gồm:

• OA 12.24: HFWIN_1224028.tar, HFWIN_1224029.tar
• OA 12.25: HFWIN_1225045.tar, HFWIN_1225046.tar
• OA 12.26: HFWIN_1226039.tar, HFWIN_1226040.tar
• OA 12.27: HFWIN_1227023.tar, HFWIN_1227024.tar
• OA 12.28: HFWIN_1228020.tar, HFWIN_1228021.tar
• OA 12.29: HFWIN_1229006.tar, HFWIN_1229007.tar

1. Với OA 12.22 và OA 12.23, bản ghi xác nhận chúng thuộc phạm vi ảnh hưởng nhưng không liệt kê tên file hotfix tương ứng. Hãy lấy hướng dẫn hoặc gói sửa lỗi dành riêng cho từng nhánh từ OpenText; không nên giả định rằng một gói được liệt kê cho nhánh khác có thể áp dụng.
2. Nếu kiểm kê xác nhận đang chạy OA 12.30, bản ghi đánh dấu nhánh này là không bị ảnh hưởng. Trạng thái của các nhánh phát hành khác vẫn cần được xác minh riêng.

1. Kiểm kê các máy Windows đang chạy OpenText Operations Agent và xác định package OvEaAgt cùng module libopc_r.
2. Đối chiếu nhánh sản phẩm đang cài đặt với danh sách hotfix của OpenText và xác minh trạng thái cài đặt của hotfix bằng công cụ quản lý phần mềm hoặc hồ sơ triển khai.
3. Rà soát ACL và cấu hình triển khai liên quan đến các vị trí mà Operations Agent có thể dùng để tìm hoặc chạy tệp thực thi. Bản ghi không nêu tên vị trí cụ thể, nên đây là bước kiểm tra phòng ngừa chứ không phải IOC đã được xác nhận.
4. Có thể xem xét telemetry tạo tiến trình để tìm việc Operations Agent khởi chạy tệp từ thư mục có quyền ghi. Đây là biện pháp giám sát bổ sung; bản ghi không cung cấp sự kiện log hoặc IOC cụ thể.
5. Điều tra riêng các trường hợp Operations Agent khởi chạy tiến trình bất thường hoặc có thay đổi trái phép trong các vị trí thực thi liên quan. Không nên coi việc không thấy log đáng ngờ là bằng chứng hệ thống an toàn.