Lỗ hổng kiểm soát quyền trong hệ thống tệp của Huawei Harmony OS và EMUI

Lỗ hổng kiểm soát quyền trong hệ thống tệp. Ảnh hưởng: Việc khai thác thành công lỗ hổng này có thể ảnh hưởng đến tính bảo mật của dịch vụ.

• Huawei Harmony OS: bản ghi chuẩn hóa đánh dấu các phiên bản 4.3.1, 4.3.0, 4.2.0 và 4.0.0 là bị ảnh hưởng. Bulletin dành cho điện thoại và máy tính bảng HUAWEI liệt kê cùng các phiên bản này.
• HUAWEI Vision: bulletin dành riêng cho Vision liệt kê HarmonyOS4.3.0 là phiên bản bị ảnh hưởng. Không nên tự động mở rộng kết luận riêng cho Vision sang mọi nhánh HarmonyOS khác nếu chưa có xác nhận theo sản phẩm.
• Huawei EMUI: bản ghi chuẩn hóa và bulletin dành cho điện thoại và máy tính bảng liệt kê các phiên bản 15.0.0, 14.2.0 và 14.0.0 là bị ảnh hưởng.
• Trạng thái mặc định trong bản ghi là unaffected đối với các phiên bản không được liệt kê, nhưng không có fixed release cụ thể nào được cung cấp. Trạng thái của các nhánh khác hoặc các nhánh mới hơn chưa được xác lập độc lập bởi bằng chứng hiện có.

Lỗ hổng được mô tả là lỗi kiểm soát quyền trong hệ thống tệp và được ánh xạ tới CWE-840, Business Logic Errors. Các bằng chứng hiện có không xác định thao tác hệ thống tệp, API, đường dẫn, bước kiểm tra quyền hoặc dữ liệu do kẻ tấn công kiểm soát. Đánh giá được cung cấp mô tả đường tấn công cục bộ, độ phức tạp thấp, không yêu cầu quyền sẵn có và cần người dùng tương tác. Phạm vi được đánh giá là không thay đổi, vì vậy bằng chứng hiện có chưa chứng minh khả năng truy cập vượt ra ngoài dịch vụ hoặc miền bảo mật bị ảnh hưởng. Việc khai thác thành công có thể ảnh hưởng đến tính bảo mật của dịch vụ; đánh giá đi kèm cũng cho thấy khả năng ảnh hưởng cao đến tính toàn vẹn và tính sẵn sàng, nhưng Huawei không mô tả cách các hậu quả này xảy ra. Điều kiện chính xác khiến người dùng phải tương tác và thành phần triển khai cụ thể vẫn chưa được xác định.

Đường tiếp cận được đánh giá là cục bộ, không phải qua mạng. Lỗ hổng không yêu cầu quyền sẵn có, có độ phức tạp thấp và cần người dùng tương tác. Bản ghi được cung cấp đánh dấu rằng chưa có public exploit. Dữ liệu CISA SSVC được hiển thị trong NVD ghi nhận trạng thái exploitation là none và automatable là no; đây là đánh giá tại một thời điểm cụ thể và không chứng minh rằng lỗ hổng không thể bị khai thác. Bằng chứng hiện có không cung cấp bước khai thác, payload hoặc trigger cụ thể.

Khai thác thành công có thể làm lộ thông tin mà dịch vụ hoặc hệ thống tệp cần bảo vệ do quyết định cấp quyền không chính xác. Đánh giá được cung cấp cũng cho thấy khả năng ảnh hưởng cao đến confidentiality, integrity và availability, nhưng mô tả của nhà cung cấp không xác định tệp, dịch vụ hoặc thao tác cụ thể liên quan. Vì đường tấn công là cục bộ và cần người dùng tương tác, đây không được xác lập là vấn đề có thể truy cập trực tiếp từ xa. Bản ghi không xác lập privilege escalation hoặc tác động vượt miền bảo mật; scope được đánh giá là không thay đổi. Hậu quả thực tế đối với tổ chức phụ thuộc vào loại dữ liệu nhạy cảm mà dịch vụ bị ảnh hưởng lưu trữ hoặc truy cập.

Hậu quả trực tiếp được công bố là khả năng mất tính bảo mật của dịch vụ. Trong một triển khai bị ảnh hưởng, lỗi kiểm soát quyền có thể làm lộ dữ liệu mà dịch vụ hoặc hệ thống tệp đáng lẽ phải bảo vệ, nhưng bằng chứng không xác định loại dữ liệu hoặc bản ghi cụ thể. Đánh giá đi kèm cũng cho thấy có thể xảy ra ảnh hưởng đến tính toàn vẹn và tính sẵn sàng, vì vậy không nên giả định rủi ro chỉ giới hạn ở confidentiality; tuy nhiên Huawei không mô tả đường dẫn sửa đổi hoặc gây gián đoạn cụ thể. Không có thông tin trong bằng chứng được xem xét về breach, nạn nhân hoặc hoạt động khai thác đã quan sát.

1. Kiểm kê các thiết bị Huawei và xác định sản phẩm, dòng triển khai và phiên bản hệ điều hành đang sử dụng.
2. Đối với điện thoại và máy tính bảng, xử lý Harmony OS 4.3.1, 4.3.0, 4.2.0 và 4.0.0 cùng EMUI 15.0.0, 14.2.0 và 14.0.0 là các phiên bản bị ảnh hưởng. Đối với HUAWEI Vision, kiểm tra riêng HarmonyOS 4.3.0 theo bulletin dành cho Vision.
3. Cài đặt security update tương ứng của HUAWEI có chứa bản vá cho sản phẩm bị ảnh hưởng. Bằng chứng hiện có xác nhận bản cập nhật bao gồm bản vá nhưng không nêu fixed release chính xác, vì vậy không được suy ra một phiên bản sửa lỗi chung hoặc một khoảng mở cho mọi phiên bản mới hơn.
4. Không có workaround hoặc biện pháp giảm thiểu cụ thể nào của nhà cung cấp được cung cấp trong bằng chứng hiện có. Nếu chưa thể cập nhật, cần ghi nhận thiết bị là chưa được xác minh an toàn thay vì dựa vào việc không có log hoặc IOC.

• Kiểm kê các thiết bị Huawei đang chạy Harmony OS hoặc EMUI, đồng thời xác định rõ thiết bị thuộc dòng điện thoại/máy tính bảng hay HUAWEI Vision.
• Đối chiếu phiên bản hệ điều hành trong inventory với các phiên bản được liệt kê là bị ảnh hưởng trong bản ghi và bulletin tương ứng.
• Kiểm tra trạng thái cài đặt security update của Huawei trên từng sản phẩm; bằng chứng hiện có không nêu một fixed build duy nhất để dùng làm mốc xác nhận.
• Với HUAWEI Vision, thực hiện kiểm tra theo bulletin dành riêng cho Vision thay vì suy rộng phạm vi từ bulletin điện thoại và máy tính bảng.
• Không có log event, IOC, đường dẫn tệp hoặc endpoint cụ thể nào được cung cấp. Việc giám sát truy cập bất thường vào dữ liệu dịch vụ chỉ là biện pháp phòng ngừa chung, không phải indicator đã được xác nhận.