Cerberus FTP Server của Cerberus: quyền kế thừa không an toàn cho phép leo thang đặc quyền cục bộ

Lỗ hổng về việc bảo toàn quyền kế thừa không an toàn trong Cerberus FTP Server trên Windows cho phép leo thang đặc quyền. Vấn đề này đã được khắc phục trong Cerberus FTP Server: 2026.1.

• Trên Windows, bản ghi chuẩn hóa đánh dấu Cerberus FTP Server bị ảnh hưởng trong dải tùy chỉnh bắt đầu từ 0 và kết thúc tại 2025.4.2.
• Cerberus FTP Server 2026.1 được đánh dấu unaffected, và release notes của vendor xác định bản phát hành này có bản sửa lỗi local privilege escalation liên quan đến quyền ghi của BUILTIN\Users trong thư mục trình cài đặt cập nhật.
• Bằng chứng hiện có không xác nhận trạng thái của mọi nhánh phát hành sau 2026.1 hoặc các nhánh song song. Không nên suy diễn 2026.1 thành một dải mở gồm mọi bản phát hành mới hơn.

Đây là lỗi CWE-278, trong đó quyền kế thừa trên Windows cho phép người dùng cục bộ ít đặc quyền ghi vào vị trí được dùng để lưu trình cài đặt cập nhật. Cerberus lưu cấu hình, log và dữ liệu dịch vụ khác dưới C:\ProgramData\Cerberus LLC\Cerberus FTP Server; advisory cho biết thư mục này kế thừa quyền từ C:\ProgramData\ và cho phép BUILTIN\Users tạo tệp hoặc thư mục. Tính năng cập nhật tải trình cài đặt vào thư mục ...\installers bằng tên có thể dự đoán theo mẫu CerberusUpdate_amd64_<version>.exe. Người dùng cục bộ ít đặc quyền có thể tạo trước một tệp thực thi cùng tên và vẫn giữ quyền kiểm soát tệp khi trình cập nhật ghi đè tệp đó. Khi quản trị viên khởi động cập nhật, chức năng cập nhật chạy với quyền local administrator, vì vậy tệp thực thi đã bị thay thế có thể chạy với các quyền đó. Chi tiết chưa được xác lập là mọi hệ thống triển khai có cùng ACL kế thừa hay không, vì quyền tùy chỉnh có thể làm thay đổi điều kiện khai thác.

Cơ chế được advisory mô tả là khai thác cục bộ: kẻ tấn công cần có tài khoản với đặc quyền thấp trên máy Windows và khả năng ghi vào vị trí lưu trình cài đặt cập nhật. Luồng này còn yêu cầu quản trị viên khởi động quá trình cập nhật, nên hành động cập nhật của quản trị viên là điều kiện cần trong kịch bản được mô tả. Điều kiện khai thác bao gồm việc thay thế tệp trong quá trình cập nhật, và advisory đã công bố một proof of concept công khai. Bản ghi được cung cấp không xác lập việc lỗ hổng đang bị khai thác ngoài thực tế hoặc được sử dụng trong chiến dịch ransomware. Một bản ghi chấm điểm thứ cấp mô tả khả năng tiếp cận qua mạng, nhưng điều đó không phù hợp với cơ chế cục bộ trong advisory và đánh giá local-vector của CNA; mô tả vận hành nên dựa trên advisory cụ thể.

Khai thác thành công có thể cho phép thực thi mã do kẻ tấn công kiểm soát với quyền local administrator trên máy Cerberus. Hậu quả có thể bao gồm mất tính bí mật, toàn vẹn và khả dụng của máy chủ, cùng với việc thay đổi trái phép cấu hình, tệp hoặc hoạt động của dịch vụ. Trong kịch bản được mô tả, phạm vi tác động là máy cục bộ; bằng chứng không xác lập quyền SYSTEM, khai thác từ xa, xâm phạm domain hoặc lateral movement. Vì quản trị viên phải khởi động quá trình cập nhật, các hệ thống không cho người dùng cục bộ không tin cậy truy cập có thể có mức phơi nhiễm thực tế thấp hơn, nhưng điều đó không thay thế việc nâng cấp.

Khai thác thành công có thể trao cho người dùng cục bộ quyền thực thi local administrator trên máy chủ Cerberus. Quyền này có thể dẫn đến thay đổi trái phép đối với cấu hình và tệp của máy chủ, làm lộ dữ liệu do dịch vụ xử lý hoặc gây gián đoạn hoạt động truyền tệp. Mức độ ảnh hưởng thực tế phụ thuộc vào tài khoản, dữ liệu và dịch vụ hiện diện trên máy bị xâm nhập. Bằng chứng hiện có không xác lập việc xâm phạm các máy khác, domain hoặc toàn bộ môi trường doanh nghiệp.

1. Nâng cấp các cài đặt Cerberus FTP Server trên Windows bị ảnh hưởng lên 2026.1, là bản phát hành cụ thể được đánh dấu unaffected và được vendor xác định là đã sửa lỗi.
2. Không coi 2026.1 là bằng chứng rằng mọi nhánh phát hành sau đó đều được bao phủ. Nếu chọn một nhánh khác, hãy xác minh trạng thái bảo mật và hỗ trợ của chính nhánh đó với vendor.
3. Trong thời gian chưa nâng cấp, hạn chế người dùng cục bộ không tin cậy có quyền ghi vào C:\ProgramData\Cerberus LLC\Cerberus FTP Server\installers và rà soát các thay đổi ACL. Đây chỉ là biện pháp phòng ngừa dựa trên điều kiện khai thác được mô tả, không phải biện pháp thay thế cho bản sửa lỗi đã xác nhận.
4. Nếu nghi ngờ đã bị khai thác, bảo toàn tệp và telemetry liên quan đến thư mục trình cài đặt trước khi xóa hoặc khôi phục. Advisory không cung cấp một biện pháp giảm thiểu tạm thời nào khác đã được xác nhận.

1. Lập danh sách các máy Windows đang chạy Cerberus FTP Server và đối chiếu phiên bản cài đặt với các ranh giới affected và fixed trong trường affected_summary.
2. Kiểm tra ACL của C:\ProgramData\Cerberus LLC\Cerberus FTP Server\installers, đặc biệt xác định BUILTIN\Users hoặc các principal cục bộ không tin cậy có quyền tạo và ghi tệp hay không.
3. Rà soát các tệp thực thi bất thường trong thư mục này, gồm các tệp khớp mẫu tên cập nhật CerberusUpdate_amd64_<version>.exe. Mẫu tên này là đầu mối điều tra, không phải IOC được xác nhận độc lập.
4. Đối chiếu telemetry về việc tạo, thay thế hoặc thực thi tệp trong thư mục trình cài đặt với các lần cập nhật được quản trị viên khởi động. Đây là biện pháp giám sát phòng ngừa, không phải dấu hiệu được vendor xác nhận.
5. Nếu phát hiện tệp đáng ngờ, bảo toàn metadata, quyền sở hữu và bằng chứng endpoint liên quan trước khi dọn dẹp. Việc không thấy telemetry phù hợp không chứng minh hệ thống an toàn.