Zscaler Client Connector nâng cao đặc quyền cục bộ cho phép thực thi mã đặc quyền

Nhiều lỗ hổng trong các phiên bản bị ảnh hưởng của Zscaler Client Connector cho phép nâng cao đặc quyền cục bộ, khiến người dùng không có đặc quyền có thể thực thi mã tùy ý trong ngữ cảnh có đặc quyền.

Zscaler Client Connector được đánh dấu affected mặc định trên các nền tảng sau:

• Windows: các phiên bản nhỏ hơn 4.6.0.457, 4.7.0.317, 4.8.0.232 và 4.9.0372 được đánh dấu affected.
• macOS: các phiên bản nhỏ hơn 4.5.2.312, 4.7.0.292 và 4.8.0.191 được đánh dấu affected.
• Linux: các phiên bản nhỏ hơn 3.7.2.64 và 4.2.1.64 được đánh dấu affected.

Các biểu thức phiên bản trong bản ghi là custom và được mô tả theo từng nhánh nền tảng. Bản ghi không xác lập trạng thái cho các nhánh song song, hệ điều hành khác hoặc các bản build không được liệt kê; không được xem một ngưỡng của nhánh này là bằng chứng rằng nhánh khác không bị ảnh hưởng.

Zscaler Client Connector bị ảnh hưởng bởi nhiều lỗ hổng thuộc nhóm CWE-280, liên quan đến việc xử lý không đúng quyền hoặc đặc quyền. Ở mức tổng quát, người dùng cục bộ không có đặc quyền có thể lợi dụng một hoặc nhiều lỗi này để khiến mã tùy ý được thực thi trong ngữ cảnh có đặc quyền cao. Lỗ hổng ảnh hưởng đến các triển khai trên Windows, macOS và Linux. Vector đánh giá mô tả khả năng truy cập cục bộ, độ phức tạp thấp, yêu cầu đặc quyền thấp và không cần tương tác của người dùng. Bằng chứng hiện có không xác định dịch vụ, kênh IPC, driver, tệp, giao diện hay loại dữ liệu đầu vào cụ thể bị lỗi, vì vậy không thể mô tả chính xác chuỗi khai thác hơn mà không suy đoán.

Lỗ hổng có thể bị khai thác cục bộ, không phải từ xa trực tiếp, và kẻ tấn công cần có quyền truy cập bằng một tài khoản người dùng không có đặc quyền. Độ phức tạp được đánh giá là thấp và không yêu cầu nạn nhân tương tác. Bản ghi được cung cấp không xác định public exploit; phần enrichment hiện có ghi nhận trạng thái exploitation là none và automatable là no. Đây là đánh giá trạng thái tại thời điểm ghi nhận, không phải bằng chứng rằng việc khai thác trong tương lai là không thể. Không có chiến dịch, nạn nhân hoặc công cụ khai thác cụ thể nào được nêu trong bằng chứng hiện có.

Khai thác thành công có thể cho phép người dùng cục bộ không có đặc quyền thực thi mã tùy ý trong ngữ cảnh có đặc quyền cao. Kết quả kỹ thuật được mô tả là vượt qua ranh giới đặc quyền, với tác động tiềm tàng đến tính bảo mật, toàn vẹn và khả dụng của endpoint. Vì vector ghi nhận scope là changed, mã đặc quyền có thể ảnh hưởng đến tài nguyên ngoài thành phần trực tiếp bị lỗi, nhưng tài nguyên cụ thể không được xác định. Bản ghi không cho biết liệu quyền đặc biệt của Client Connector có bị giới hạn bởi một cấu hình triển khai cụ thể hay không.

Nếu khai thác thành công, người dùng cục bộ không có đặc quyền có thể vượt qua ranh giới đặc quyền của Client Connector và chạy mã với quyền cao hơn.

• Điều này có thể cho phép truy cập hoặc thay đổi dữ liệu mà ngữ cảnh người dùng ban đầu không được phép truy cập.
• Mã chạy với đặc quyền cao có thể làm suy yếu cấu hình bảo mật, thay đổi trạng thái hoặc thành phần của endpoint, và gây gián đoạn hoạt động của thiết bị.
• Do đánh giá mô tả scope là changed, tác động có thể vượt ra ngoài thành phần trực tiếp bị lỗi, nhưng phạm vi tài nguyên cụ thể không được xác định.

Bằng chứng hiện có không nêu một vụ xâm nhập, nạn nhân, chiến dịch hay tổn thất vận hành cụ thể.

1. Cập nhật theo đúng nhánh nền tảng: đưa từng cài đặt ra khỏi khoảng lessThan bị ảnh hưởng bằng release tương ứng do Zscaler cung cấp. Bản ghi nêu các ngưỡng Windows là 4.6.0.457, 4.7.0.317, 4.8.0.232 và 4.9.0372; các ngưỡng macOS là 4.5.2.312, 4.7.0.292 và 4.8.0.191; các ngưỡng Linux là 3.7.2.64 và 4.2.1.64.
2. Xác minh sau triển khai rằng endpoint thực sự đang chạy build thuộc nhánh đã được xử lý. Không chuyển một ngưỡng cụ thể thành quy tắc bao quát cho mọi nhánh hiện tại hoặc tương lai chưa được bản ghi xác nhận.
3. Ưu tiên các endpoint có người dùng cục bộ không có đặc quyền, vì điều kiện khai thác yêu cầu quyền truy cập cục bộ.
4. Bản ghi không cung cấp workaround hoặc biện pháp giảm thiểu cấu hình cụ thể. Nếu chưa thể cập nhật một nhánh, cần yêu cầu Zscaler cung cấp hướng dẫn hỗ trợ cho đúng nền tảng và nhánh đó thay vì tự giả định một thay đổi cấu hình sẽ loại bỏ lỗ hổng.

1. Kiểm kê toàn bộ endpoint chạy Zscaler Client Connector trên Windows, macOS và Linux, bao gồm các máy cho phép người dùng cục bộ không có đặc quyền đăng nhập.
2. Đối chiếu build đang cài với các ngưỡng theo từng nhánh nền tảng được nêu trong affected_summary; không suy luận trạng thái an toàn từ tên nhánh hoặc hệ điều hành בלבד.
3. Kiểm tra dữ liệu triển khai phần mềm hoặc bản ghi quản trị để xác nhận bản cập nhật đã hoàn tất trên từng endpoint, thay vì chỉ xác nhận gói đã được phân phối.
4. Có thể rà soát telemetry endpoint về việc tạo tiến trình đặc quyền bất thường, thay đổi trái phép đối với cấu hình bảo mật hoặc hành vi đặc quyền không phù hợp như một biện pháp cảnh báo bổ sung. Bản ghi không cung cấp IOC hay sự kiện log cụ thể, và việc không thấy telemetry bất thường không chứng minh endpoint an toàn.