Thực thi mã từ xa không cần xác thực trong Zscaler Client Connector

Nhiều lỗ hổng trên các phiên bản bị ảnh hưởng của Zscaler Client Connector cho phép thực thi mã từ xa, khiến một người dùng không cần xác thực và không có đặc quyền có thể thực thi mã tùy ý trong ngữ cảnh ZCC.

Bản ghi CNA dùng biểu thức phạm vi tùy chỉnh theo nền tảng. Trạng thái mặc định được ghi nhận là unaffected, trong khi các bản phát hành thấp hơn các ranh giới sau được đánh dấu affected:

• Windows: thấp hơn 4.6.0.457, 4.7.0.317, 4.8.0.232 hoặc 4.9.0.372, tùy nhánh.
• macOS: thấp hơn 4.5.2.312, 4.7.0.292 hoặc 4.8.0.191, tùy nhánh.
• Linux: thấp hơn 3.7.2.64 hoặc 4.2.1.64, tùy nhánh.
• Android: thấp hơn 4.2.
• ChromeOS: thấp hơn 4.2.
• iOS: thấp hơn 4.5.1.

Các ranh giới trên là các giá trị theo từng nền tảng được CNA cung cấp. Không nên suy ra rằng một ranh giới áp dụng cho nhánh hoặc nền tảng khác.

Zscaler Client Connector là thành phần bị ảnh hưởng bởi nhiều lỗ hổng thuộc nhóm CWE-20 Improper input validation. Các điều kiện tấn công được xác nhận gồm khả năng tiếp cận qua mạng, độ phức tạp thấp, không cần xác thực, không cần đặc quyền và không cần tương tác của người dùng. Ở mức khái quát, kẻ tấn công có thể gửi dữ liệu đến chức năng Client Connector có thể truy cập qua mạng; dữ liệu được xử lý không an toàn và dẫn đến thực thi mã tùy ý trong ngữ cảnh ZCC. Endpoint, giao thức, payload, module dễ bị lỗi và chi tiết của cơ chế kiểm tra đầu vào không được công bố, vì vậy đây là diễn giải kỹ thuật cấp cao chứ không phải hướng dẫn khai thác. Phạm vi bị ảnh hưởng bao gồm các triển khai Client Connector trên Windows, macOS, Linux, Android, ChromeOS và iOS.

Lỗ hổng có thể bị khai thác từ xa qua mạng. Bản ghi xác nhận rằng kẻ tấn công không cần xác thực hoặc đặc quyền, không cần người dùng tương tác và điều kiện khai thác có độ phức tạp thấp. Bản ghi được cung cấp không xác định public exploit và không đánh dấu lỗ hổng là đã bị khai thác; phần enrich của CISA được trả về trong quá trình tra cứu ghi nhận trạng thái exploitation là none trong phạm vi đánh giá của nó. Thông tin này không chứng minh rằng việc khai thác không thể xảy ra hoặc trạng thái sẽ không thay đổi. Không có chi tiết về exploit, chiến dịch, nạn nhân hoặc chỉ báo xâm nhập cụ thể.

Kết quả kỹ thuật của việc khai thác là thực thi mã tùy ý trong ngữ cảnh ZCC, với ảnh hưởng cao đến tính bảo mật và toàn vẹn theo đánh giá được cung cấp; ảnh hưởng đến tính sẵn sàng không được đánh giá là có. Phạm vi được ghi nhận là unchanged, nên bản ghi không xác nhận việc vượt ra ngoài ngữ cảnh ZCC, leo thang lên quyền hệ điều hành hoặc xâm nhập các hệ thống khác. Tùy quyền mà Client Connector có trên endpoint, kẻ tấn công có thể có khả năng truy cập hoặc sửa đổi dữ liệu, cấu hình hay hoạt động mà ngữ cảnh đó quản lý. Hậu quả tổ chức có thể gồm mất tính tin cậy của endpoint, thay đổi trái phép hành vi bảo mật hoặc phơi lộ dữ liệu được Client Connector xử lý. Mức độ thực tế vẫn phụ thuộc vào nền tảng, quyền triển khai và các kiểm soát bổ sung.

• Khai thác thành công có thể cho phép kẻ tấn công đọc hoặc thay đổi dữ liệu và hành vi mà ngữ cảnh ZCC có quyền truy cập, với mức ảnh hưởng bảo mật và toàn vẹn được đánh giá là cao.
• Vì không cần tài khoản hoặc thao tác của người dùng, một endpoint bị lộ có thể bị tác động mà không cần hỗ trợ từ người dùng cục bộ.
• Phạm vi thực tế phụ thuộc vào quyền của ZCC, nền tảng và cấu hình triển khai. Bản ghi không xác nhận việc thoát khỏi ngữ cảnh ZCC, chiếm quyền hệ điều hành hoặc ảnh hưởng đến các hệ thống khác.
• Chưa có bằng chứng trong bản ghi về một vụ xâm nhập, nạn nhân hoặc chiến dịch cụ thể.

1. Kiểm kê toàn bộ triển khai Client Connector trên sáu nền tảng bị ảnh hưởng và xác định nhánh phát hành của từng thiết bị.
2. Với Windows, cập nhật từng nhánh đến ranh giới tương ứng được CNA nêu: 4.6.0.457, 4.7.0.317, 4.8.0.232 hoặc 4.9.0.372.
3. Với macOS, cập nhật đến ranh giới tương ứng: 4.5.2.312, 4.7.0.292 hoặc 4.8.0.191. Với Linux, cập nhật đến 3.7.2.64 hoặc 4.2.1.64 tùy nhánh.
4. Với Android và ChromeOS, cập nhật đến 4.2; với iOS, cập nhật đến 4.5.1.
5. Sử dụng Client Connector App Store, cơ chế update được Zscaler hỗ trợ hoặc công cụ MDM phù hợp với từng nền tảng, sau đó xác minh phiên bản đã triển khai trên thiết bị thực tế. Trường solutions trong bản ghi để trống, vì vậy cần đối chiếu hướng dẫn phát hành của Zscaler để xác nhận quy trình triển khai và khả năng hỗ trợ của từng nhánh.
6. Trong thời gian chưa hoàn tất cập nhật, có thể hạn chế khả năng tiếp cận mạng không cần thiết đến các endpoint bị ảnh hưởng nếu vận hành cho phép. Đây là biện pháp phòng thủ bổ sung, không phải bản vá được nhà cung cấp xác nhận.

• Lập danh sách tất cả thiết bị chạy Client Connector trên Windows, macOS, Linux, Android, ChromeOS và iOS bằng hệ thống inventory endpoint, Zscaler portal, MDM hoặc công cụ quản lý phần mềm.
• Thu thập chuỗi phiên bản chính xác trên từng thiết bị và đối chiếu với các ranh giới theo nền tảng trong mục affected_summary.
• Ưu tiên kiểm tra các endpoint có thể tiếp cận qua mạng, vì lỗ hổng không yêu cầu xác thực hoặc tương tác người dùng.
• Rà soát EDR và telemetry mạng để phát hiện hoạt động thực thi mã bất thường hoặc kết nối bất thường gắn với Client Connector trên các thiết bị có nguy cơ. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được nhà cung cấp xác nhận.
• Kiểm tra các thiết bị ngoại tuyến, thiết bị chưa hoàn tất rollout và trạng thái cập nhật tập trung. Không có cảnh báo hoặc log bất thường không chứng minh thiết bị an toàn.