Tràn bộ đệm heap trong Microsoft HEVC Video Extensions cho phép nâng cao đặc quyền cục bộ

Tràn bộ đệm dựa trên heap trong Microsoft Windows Codecs Library cho phép kẻ tấn công không được cấp quyền nâng cao đặc quyền cục bộ.

• Microsoft HEVC Video Extensions: bị ảnh hưởng từ 1.0.0 đến trước 2.4.87.0; Microsoft xác định bản khắc phục là 2.4.87.0.
• Microsoft HEVC Video Extensions for Licensed Applications: bị ảnh hưởng từ 2.0.0.0 đến trước 2.4.85.0; bản khắc phục được xác định là 2.4.85.0.
• Microsoft HEVC Video Extensions from Device Manufacturer: bản ghi cơ sở nêu phạm vi từ 2.0.0.0 đến trước 2.4.86.0. Tuy nhiên, Microsoft VEX hiện mô tả nhiều nhánh của sản phẩm này có phiên bản bị ảnh hưởng trước 2.5.25.0, với bản khắc phục 2.4.86.0 cho một nhóm nhánh và 2.5.25.0 cho nhóm nhánh khác. Do đó, 2.4.86.0 không phải ranh giới khắc phục dùng chung cho mọi nhánh Device Manufacturer.
• Phạm vi nền tảng được ghi nhận gồm Windows 10 Version 1809, Windows 10 Version 21H2 và Windows 10 Version 22H2; Windows 11 Version 23H2, Version 24H2, Version 25H2 và version 26H1; cùng Windows Server 2019, Windows Server 2022 và Windows Server 2025, bao gồm các bản Server Core được liệt kê. Kiến trúc bị ảnh hưởng thay đổi theo nền tảng, gồm 32-bit, x64 và ARM64.

Lỗ hổng đã được xác định là CWE-122, tràn bộ đệm dựa trên heap, trong Microsoft Windows Codecs Library, thành phần được các biến thể HEVC Video Extensions sử dụng. Đường tấn công là cục bộ, không yêu cầu đặc quyền trước đó, có độ phức tạp thấp và cần người dùng tương tác. Bằng chứng hiện có không nêu loại tệp, định dạng codec, API, thao tác xử lý hoặc chuỗi cấp phát bộ nhớ cụ thể do kẻ tấn công kiểm soát. Vì vậy, có thể xác nhận cơ chế lỗi và điều kiện truy cập ở mức cao, nhưng chưa thể xác định chính xác trigger hoặc đường đi trong mã. Kết quả được mô tả là nâng cao đặc quyền trong cùng phạm vi bảo mật của hệ thống.

• Khả năng tiếp cận: Cục bộ trên máy có cài thành phần bị ảnh hưởng; dữ liệu CVE không mô tả một đường khai thác từ xa.
• Xác thực và đặc quyền: Kẻ tấn công không cần đặc quyền trước đó.
• Tương tác người dùng: Bắt buộc phải có tương tác của người dùng.
• Độ phức tạp: Thấp theo đánh giá của Microsoft.
• Tình trạng khai thác: Bản ghi được cung cấp đánh dấu không có public exploit. Tình trạng khai thác thực tế không được xác lập trong dữ liệu hiện có, còn Microsoft VEX xếp mức độ trưởng thành của mã khai thác là chưa được chứng minh. Điều này không chứng minh rằng chưa từng có khai thác trong thực tế.

Lỗi có thể dẫn đến nâng cao đặc quyền cục bộ sau khi xử lý thành công dữ liệu kích hoạt lỗi. Theo tác động được ghi nhận, hậu quả tiềm tàng bao gồm ảnh hưởng đến tính bí mật, tính toàn vẹn và tính sẵn sàng của tài nguyên trên cùng hệ thống. Phạm vi bảo mật không thay đổi, nên tác động được mô tả trong phạm vi máy chủ bị khai thác thay vì tự động lan sang một miền bảo mật khác. Điều kiện tương tác người dùng làm giảm khả năng khai thác tự động, nhưng không loại bỏ rủi ro trên các máy có người dùng xử lý nội dung codec. Dữ liệu công khai chưa cho biết primitive khai thác, mức đặc quyền cụ thể sau khai thác hoặc khả năng duy trì quyền truy cập.

Nếu khai thác thành công, kẻ tấn công có thể nâng cao đặc quyền trên cùng máy Windows và có khả năng đọc dữ liệu, thay đổi nội dung hoặc làm gián đoạn tài nguyên mà ngữ cảnh đặc quyền mới cho phép truy cập. Điều này có thể biến một quyền truy cập cục bộ hạn chế thành quyền kiểm soát rộng hơn trong phạm vi máy bị ảnh hưởng. Lỗ hổng yêu cầu tương tác người dùng, vì vậy mức phơi nhiễm phụ thuộc vào việc người dùng xử lý nội dung hoặc thao tác liên quan đến thành phần codec. Dữ liệu hiện có không xác lập kịch bản truy cập từ xa, chiến dịch tấn công, nạn nhân cụ thể hoặc sự cố rò rỉ đã xảy ra.

1. Cài bản cập nhật bảo mật của Microsoft cho từng biến thể. Đối với HEVC Video Extensions, cập nhật đến 2.4.87.0; đối với HEVC Video Extensions for Licensed Applications, cập nhật đến 2.4.85.0.
2. Đối với HEVC Video Extensions from Device Manufacturer, áp dụng bản cập nhật theo đúng nhánh sản phẩm: 2.4.86.0 cho các nhánh Microsoft ánh xạ tới bản sửa đó và 2.5.25.0 cho các nhánh được Microsoft ánh xạ tới bản sửa đó.
3. Sau khi cập nhật, xác minh lại tên biến thể, nhánh sản phẩm và phiên bản gói trên từng thiết bị. Không coi 2.4.86.0 là đủ cho toàn bộ các bản Device Manufacturer.
4. Ưu tiên xử lý các máy có người dùng tương tác với nội dung đa phương tiện hoặc phần mềm có thể gọi Windows Codecs Library. Đây là biện pháp ưu tiên rủi ro, không thay thế cho bản cập nhật.
5. Bằng chứng hiện có không cung cấp workaround được Microsoft xác nhận. Các biện pháp giảm thiểu tạm thời không nên được xem là đã loại bỏ lỗ hổng.

1. Kiểm kê các gói Microsoft Store hoặc gói ứng dụng đang cài đặt cho HEVC Video Extensions, HEVC Video Extensions for Licensed Applications và HEVC Video Extensions from Device Manufacturer.
2. Đối chiếu phiên bản đã cài với các ranh giới bị ảnh hưởng và phiên bản khắc phục tương ứng trong mục affected_summary.
3. Với HEVC Video Extensions from Device Manufacturer, xác định đúng nhánh sản phẩm trước khi đánh giá trạng thái vá. Không nên mặc định một phiên bản khắc phục duy nhất áp dụng cho mọi nhánh của sản phẩm này.
4. Kiểm tra trạng thái triển khai bản cập nhật trên các hệ thống Windows 10, Windows 11 và Windows Server có trong phạm vi sản phẩm.
5. Bằng chứng hiện có không cung cấp IOC, sự kiện log hoặc tệp kích hoạt cụ thể. Việc giám sát chung chỉ là biện pháp thận trọng, và không có log đáng ngờ không chứng minh hệ thống an toàn.