Lỗi double free trong Microsoft Windows IKE Extension cho phép thực thi mã từ xa

Lỗi double free trong Windows IKE Extension cho phép kẻ tấn công không được ủy quyền thực thi mã qua mạng.

• Windows 10 Version 1607: từ 10.0.14393.0 đến các build thấp hơn 10.0.14393.9060.
• Windows 10 Version 1809: từ 10.0.17763.0 đến các build thấp hơn 10.0.17763.8644.
• Windows 10 Version 21H2: từ 10.0.19044.0 đến các build thấp hơn 10.0.19044.7184.
• Windows 10 Version 22H2: từ 10.0.19045.0 đến các build thấp hơn 10.0.19045.7184.
• Windows 11 version 22H3: từ 10.0.22631.0 đến các build thấp hơn 10.0.22631.6936.
• Windows 11 Version 23H2: từ 10.0.22631.0 đến các build thấp hơn 10.0.22631.6936.
• Windows 11 Version 24H2: từ 10.0.26100.0 đến các build thấp hơn 10.0.26100.8246.
• Windows 11 Version 25H2: từ 10.0.26200.0 đến các build thấp hơn 10.0.26200.8246.
• Windows 11 version 26H1: từ 10.0.28000.0 đến các build thấp hơn 10.0.28000.1836.
• Windows Server 2016: từ 10.0.14393.0 đến các build thấp hơn 10.0.14393.9060.
• Windows Server 2016 (Server Core installation): từ 10.0.14393.0 đến các build thấp hơn 10.0.14393.9060.
• Windows Server 2019: từ 10.0.17763.0 đến các build thấp hơn 10.0.17763.8644.
• Windows Server 2019 (Server Core installation): từ 10.0.17763.0 đến các build thấp hơn 10.0.17763.8644.
• Windows Server 2022: từ 10.0.20348.0 đến các build thấp hơn 10.0.20348.5020.
• Windows Server 2022, 23H2 Edition (Server Core installation): từ 10.0.25398.0 đến các build thấp hơn 10.0.25398.2274.
• Windows Server 2025: từ 10.0.26100.0 đến các build thấp hơn 10.0.26100.32690.
• Windows Server 2025 (Server Core installation): từ 10.0.26100.0 đến các build thấp hơn 10.0.26100.32690.

Bản ghi chuẩn hóa không cung cấp trạng thái ảnh hưởng cho các nhánh Windows khác ngoài danh sách trên; không nên suy luận rằng các nhánh chưa được liệt kê là an toàn.

Microsoft Windows IKE Extension xử lý lưu lượng mạng dành cho Internet Key Exchange trên các hệ thống Windows bị ảnh hưởng. Lỗi thuộc lớp double free, trong đó cùng một vùng nhớ bị giải phóng nhiều lần, có thể làm hỏng trạng thái bộ nhớ và dẫn đến thực thi mã nếu bị khai thác thành công. Dữ liệu đầu vào do kẻ tấn công kiểm soát là lưu lượng mạng đi tới thành phần IKE, nhưng bằng chứng hiện có không mô tả định dạng gói tin, hàm xử lý, cấu trúc cấp phát bộ nhớ hoặc payload cụ thể. Bản ghi xác nhận khả năng truy cập qua mạng, không yêu cầu xác thực và không cần tương tác của người dùng. Phạm vi ảnh hưởng bao gồm các nhánh Windows client và Windows Server được liệt kê, kể cả một số bản cài đặt Server Core. Chưa có thông tin đủ để xác định mọi triển khai IKE đều có thể bị khai thác hay cần thêm điều kiện cấu hình ngoài việc có thể truy cập thành phần IKE.

Lỗ hổng có thể được khai thác qua mạng với độ phức tạp thấp, không cần đặc quyền và không cần người dùng tương tác. Bản ghi chuẩn hóa đánh dấu lỗ hổng đã bị khai thác trong thực tế và có public exploit. Phân tích của Unit 42 ghi nhận hoạt động khai thác chủ động, gồm các nỗ lực reverse shell callback nhằm vào ba IKE VPN endpoint. Bằng chứng được xem xét không xác nhận việc thực thi mã thành công trên các endpoint đó, vì vậy cần phân biệt giữa nỗ lực khai thác đã quan sát và việc xâm nhập thành công.

Khai thác thành công có thể cho phép kẻ tấn công từ xa không cần xác thực thực thi mã trên hệ thống Windows xử lý IKE. Bản ghi đánh giá tác động ở mức cao đối với tính bí mật, toàn vẹn và sẵn sàng, nhưng không nêu rõ execution context hoặc quyền cụ thể mà mã sẽ nhận được. Trên máy đóng vai trò VPN hoặc perimeter, hậu quả có thể gồm gián đoạn dịch vụ, thay đổi cấu hình hoặc tạo điểm tựa để tiếp tục xâm nhập mạng nội bộ. Các hậu quả này là khả năng kỹ thuật và tổ chức, không phải bằng chứng về một vụ rò rỉ dữ liệu hoặc sự cố cụ thể. Bằng chứng khai thác hiện có xác nhận các nỗ lực reverse shell nhằm vào IKE endpoint, nhưng không xác nhận kết quả thực thi mã trên các mục tiêu đó.

1. Rủi ro vận hành: Một máy Windows ở vai trò VPN hoặc perimeter có thể bị lợi dụng để thực thi mã từ xa, làm tăng nguy cơ gián đoạn dịch vụ truy cập từ xa và kết nối mạng.
2. Rủi ro dữ liệu và kiểm soát: Khả năng thực thi mã có thể ảnh hưởng đến tính bí mật, toàn vẹn và sẵn sàng của hệ thống bị xâm phạm. Hậu quả cụ thể phụ thuộc vào ngữ cảnh triển khai và quyền của thành phần bị tác động.
3. Rủi ro lan truyền: Nếu một hệ thống biên bị chiếm quyền, kẻ tấn công có thể sử dụng nó làm điểm tựa để tiếp tục thăm dò hoặc tấn công các hệ thống nội bộ. Đây là hậu quả có thể xảy ra, không phải sự cố đã được xác nhận trong bằng chứng hiện có.
4. Do đã có hoạt động khai thác được quan sát, các endpoint IKE có thể truy cập từ Internet hoặc mạng không tin cậy nên được đưa vào nhóm ưu tiên kiểm kê và cập nhật.

1. Cài đặt bản cập nhật bảo mật Microsoft áp dụng cho đúng nhánh hệ điều hành và thành phần IKE trên từng máy bị ảnh hưởng.
2. Xác minh build sau cập nhật theo từng nhánh:

• Windows 10 Version 1607, Windows Server 2016 và Windows Server 2016 (Server Core installation) không còn thấp hơn 10.0.14393.9060.
• Windows 10 Version 1809, Windows Server 2019 và Windows Server 2019 (Server Core installation) không còn thấp hơn 10.0.17763.8644.
• Windows 10 Version 21H2 không còn thấp hơn 10.0.19044.7184.
• Windows 10 Version 22H2 không còn thấp hơn 10.0.19045.7184.
• Windows 11 version 22H3 và Windows 11 Version 23H2 không còn thấp hơn 10.0.22631.6936.
• Windows 11 Version 24H2 không còn thấp hơn 10.0.26100.8246.
• Windows 11 Version 25H2 không còn thấp hơn 10.0.26200.8246.
• Windows 11 version 26H1 không còn thấp hơn 10.0.28000.1836.
• Windows Server 2022 không còn thấp hơn 10.0.20348.5020.
• Windows Server 2022, 23H2 Edition (Server Core installation) không còn thấp hơn 10.0.25398.2274.
• Windows Server 2025 và Windows Server 2025 (Server Core installation) không còn thấp hơn 10.0.26100.32690.

1. Ưu tiên các máy có IKE/VPN endpoint nhận kết nối từ Internet hoặc mạng không tin cậy, vì hoạt động khai thác chủ động đã được quan sát.
2. Nếu chưa thể cập nhật ngay, giảm khả năng truy cập không cần thiết tới các IKE endpoint và tăng cường giám sát mạng, process creation và kết nối outbound. Đây là biện pháp giảm rủi ro tạm thời, không phải bản sửa lỗi được xác nhận.
3. Với các máy đã có dấu hiệu đáng ngờ, điều tra trước và sau thời điểm cập nhật để phân biệt việc ngăn chặn khai thác với việc hệ thống đã từng bị xâm phạm. Bản ghi hiện không cung cấp workaround hoặc IOC cụ thể do Microsoft xác nhận.

1. Lập danh sách các máy Windows có cài đặt hoặc phơi bày chức năng IKE/VPN, bao gồm các hệ thống Windows Server và Server Core.
2. Kiểm tra build hệ điều hành của từng máy và đối chiếu với các khoảng phiên bản trong affected_summary; không chỉ dựa vào tên sản phẩm hoặc trạng thái hỗ trợ.
3. Xác định các endpoint IKE có thể nhận kết nối từ mạng không tin cậy, kể cả các endpoint nằm sau NAT, firewall hoặc thiết bị VPN perimeter.
4. Rà soát telemetry mạng và EDR để tìm các kết nối IKE bất thường đi kèm với process creation, kết nối outbound bất thường hoặc hành vi giống reverse shell. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được xác nhận riêng cho lỗ hổng này.
5. Nếu phát hiện hoạt động đáng ngờ trên một máy chưa được cập nhật, bảo toàn log và dữ liệu điều tra, hạn chế khả năng tiếp cận mạng của máy đó theo quy trình ứng phó sự cố, rồi kiểm tra dấu hiệu thực thi mã sau các kết nối IKE.