Lỗi Relative Path Traversal trong Microsoft Windows PowerShell cho phép thực thi mã qua mạng

Relative path traversal trong Windows PowerShell cho phép kẻ tấn công đã được cấp quyền thực thi mã qua mạng.

Bản ghi xác định các sản phẩm sau là bị ảnh hưởng:

• Microsoft PowerShell 7.5: từ 7.5.0 đến trước 7.5.11.
• Microsoft PowerShell 7.6: từ 7.6.0 đến trước 7.6.6.
• Windows 10 Version 1607: từ 10.0.14393.0 đến trước 10.0.14393.9339.
• Windows 10 Version 1809: từ 10.0.17763.0 đến trước 10.0.17763.9020.
• Windows 10 Version 21H2: từ 10.0.19044.0 đến trước 10.0.19044.7548.
• Windows 10 Version 22H2: từ 10.0.19045.0 đến trước 10.0.19045.7548.
• Windows 11 Version 24H2: từ 10.0.26100.0 đến trước 10.0.26100.8875.
• Windows 11 Version 25H2: từ 10.0.26200.0 đến trước 10.0.26200.8875.
• Windows 11 version 26H1: từ 10.0.28000.0 đến trước 10.0.28000.2525.
• Windows Server 2012, bao gồm Server Core installation: từ 6.2.9200.0 đến trước 6.2.9200.26226.
• Windows Server 2012 R2, bao gồm Server Core installation: từ 6.3.9600.0 đến trước 6.3.9600.23291.
• Windows Server 2016, bao gồm Server Core installation: từ 10.0.14393.0 đến trước 10.0.14393.9339.
• Windows Server 2019, bao gồm Server Core installation: từ 10.0.17763.0 đến trước 10.0.17763.9020.
• Windows Server 2022: từ 10.0.20348.0 đến trước 10.0.20348.5386.
• Windows Server 2025, bao gồm Server Core installation: từ 10.0.26100.0 đến trước 10.0.26100.33158.

Trạng thái của các phiên bản, nhánh hoặc nền tảng không được liệt kê không được xác định từ bản ghi này.

Microsoft Windows PowerShell có lỗi relative path traversal, được phân loại là CWE-23. Kẻ tấn công đã được cấp quyền có thể gửi đầu vào qua mạng khiến PowerShell xử lý đường dẫn tương đối không an toàn và dẫn đến thực thi mã. Việc khai thác theo hồ sơ yêu cầu quyền hạn thấp và tương tác của người dùng; hồ sơ không xác định trường đầu vào, endpoint, dịch vụ, code path hoặc execution context cụ thể. Phạm vi ảnh hưởng bao gồm các nhánh PowerShell và Windows được liệt kê trong affected_summary.

Lỗi có thể bị tiếp cận qua mạng và yêu cầu kẻ tấn công đã được cấp quyền với quyền hạn thấp. Hồ sơ mô tả attack complexity thấp và yêu cầu user interaction, vì vậy việc khai thác không hoàn toàn tự động theo thông tin hiện có. Bản ghi không liệt kê public exploit và không cung cấp trạng thái khai thác thực tế đã được xác nhận. Điều này không chứng minh rằng lỗi chưa từng bị khai thác.

Lỗi có thể dẫn đến thực thi mã từ xa khi điều kiện khai thác được đáp ứng. Theo hồ sơ, tác động kỹ thuật có thể bao gồm mất tính bí mật, toàn vẹn và khả dụng của tài nguyên nằm trong phạm vi quyền của execution context. Vì scope được mô tả là không thay đổi, tác động được kỳ vọng vẫn nằm trong phạm vi bảo mật của thành phần hoặc hệ thống bị khai thác, nhưng hậu quả thực tế phụ thuộc vào quyền của tài khoản và các tài nguyên có thể truy cập. Yêu cầu user interaction và quyền hạn thấp là các giới hạn quan trọng của đường khai thác.

Nếu khai thác thành công, lỗi có thể cho phép thực thi mã trong ngữ cảnh của thành phần hoặc tài khoản bị tác động. Hệ quả có thể bao gồm tiết lộ dữ liệu, thay đổi dữ liệu hoặc làm gián đoạn dịch vụ mà ngữ cảnh đó có quyền truy cập. Mức độ ảnh hưởng thực tế phụ thuộc vào quyền của tài khoản, các tài nguyên mà PowerShell có thể truy cập và những biện pháp kiểm soát bổ sung trong môi trường. Hồ sơ không nêu một chiến dịch, nạn nhân hoặc sự cố cụ thể.

1. Cập nhật Microsoft PowerShell 7.5 lên 7.5.11 và Microsoft PowerShell 7.6 lên 7.6.6 khi các bản này tương ứng với nhánh đang triển khai.
2. Triển khai bản cập nhật Microsoft cho từng nhánh Windows bị ảnh hưởng và xác minh build sau cập nhật đạt ranh giới sửa lỗi tương ứng: 10.0.14393.9339 cho Windows 10 Version 1607 và Windows Server 2016; 10.0.17763.9020 cho Windows 10 Version 1809 và Windows Server 2019; 10.0.19044.7548 cho Windows 10 Version 21H2; 10.0.19045.7548 cho Windows 10 Version 22H2; 10.0.26100.8875 cho Windows 11 Version 24H2 và 10.0.26100.33158 cho Windows Server 2025; 10.0.26200.8875 cho Windows 11 Version 25H2; 10.0.28000.2525 cho Windows 11 version 26H1; 6.2.9200.26226 cho Windows Server 2012; 6.3.9600.23291 cho Windows Server 2012 R2; và 10.0.20348.5386 cho Windows Server 2022.
3. Bao gồm các triển khai Server Core installation trong phạm vi kiểm tra khi chúng chạy các nhánh Windows Server tương ứng.
4. Nếu chưa thể cập nhật ngay, áp dụng biện pháp phòng ngừa phù hợp như giảm khả năng truy cập mạng đến các chức năng PowerShell, hạn chế quyền của tài khoản và giảm các luồng yêu cầu user interaction. Đây là biện pháp giảm thiểu chung, không phải hướng dẫn tạm thời cụ thể được xác nhận trong hồ sơ.
5. Không coi một bản build hoặc nhánh không xuất hiện trong danh sách là đã được xác nhận an toàn; cần đối chiếu với hướng dẫn Microsoft tương ứng.

• Kiểm kê các hệ thống chạy Windows PowerShell 7.5 hoặc 7.6 và các bản Windows nằm trong danh sách bị ảnh hưởng.
• Đối chiếu phiên bản hoặc OS build thực tế với các ranh giới trong affected_summary; không suy luận rằng một nhánh chưa được liệt kê là an toàn.
• Xác minh các bản cập nhật Microsoft tương ứng đã được triển khai và build sau cập nhật đạt đúng ranh giới sửa lỗi của nhánh đó.
• Rà soát việc sử dụng PowerShell qua mạng, các tài khoản có quyền truy cập thấp và những quy trình yêu cầu user interaction. Đây là biện pháp giám sát phòng ngừa, không phải indicator đã được Microsoft xác nhận.
• Không có IOC, event log cụ thể hoặc mẫu truy vết được cung cấp. Việc không thấy log phù hợp không chứng minh hệ thống an toàn.