Microsoft Windows Imaging Component bị ghi ngoài biên dẫn đến thực thi mã từ xa

Lỗi ghi ngoài biên trong Windows Imaging Component cho phép kẻ tấn công không được ủy quyền thực thi mã qua mạng.

Microsoft xác định các nhánh sau bị ảnh hưởng. Mỗi nhánh được xem là ảnh hưởng từ build nền được nêu đến mọi build nhỏ hơn build sửa tương ứng:

• Windows 10 Version 1607 và Windows Server 2016, bao gồm Server Core: bắt đầu từ 10.0.14393.0, nhỏ hơn 10.0.14393.9512; bản sửa là 10.0.14393.9512.
• Windows 10 Version 1809 và Windows Server 2019, bao gồm Server Core: bắt đầu từ 10.0.17763.0, nhỏ hơn 10.0.17763.9245; bản sửa là 10.0.17763.9245.
• Windows 10 Version 21H2: bắt đầu từ 10.0.19044.0, nhỏ hơn 10.0.19044.7725; bản sửa là 10.0.19044.7725.
• Windows 10 Version 22H2: bắt đầu từ 10.0.19045.0, nhỏ hơn 10.0.19045.7725; bản sửa là 10.0.19045.7725.
• Windows 11 Version 23H2: bắt đầu từ 10.0.22631.0, nhỏ hơn 10.0.22631.7582; bản sửa là 10.0.22631.7582.
• Windows 11 Version 24H2: bắt đầu từ 10.0.26100.0, nhỏ hơn 10.0.26100.9445; bản sửa là 10.0.26100.9445.
• Windows 11 Version 25H2: bắt đầu từ 10.0.26200.0, nhỏ hơn 10.0.26200.9445; bản sửa là 10.0.26200.9445.
• Windows 11 version 26H1: bắt đầu từ 10.0.28000.0, nhỏ hơn 10.0.28000.2954; bản sửa là 10.0.28000.2954.
• Windows Server 2012, bao gồm Server Core: bắt đầu từ 6.2.9200.0, nhỏ hơn 6.2.9200.26349; bản sửa là 6.2.9200.26349.
• Windows Server 2012 R2, bao gồm Server Core: bắt đầu từ 6.3.9600.0, nhỏ hơn 6.3.9600.23398; bản sửa là 6.3.9600.23398.
• Windows Server 2022: bắt đầu từ 10.0.20348.0, nhỏ hơn 10.0.20348.5622; bản sửa là 10.0.20348.5622.
• Windows Server 2025, bao gồm Server Core: bắt đầu từ 10.0.26100.0, nhỏ hơn 10.0.26100.33438; bản sửa là 10.0.26100.33438.

Bản ghi chuẩn hóa có hai mục trùng cho Windows 11 Version 23H2; chúng được trình bày một lần ở trên. Trạng thái của các nhánh hoặc sản phẩm không được nêu trong dữ liệu này không được suy đoán.

Microsoft Windows Imaging Component có lỗi ghi ngoài biên thuộc CWE-787. Khi thành phần xử lý dữ liệu do kẻ tấn công kiểm soát, thao tác ghi có thể vượt ra ngoài vùng bộ nhớ được cấp phát và dẫn đến thực thi mã trên hệ thống bị ảnh hưởng. Bản ghi xác nhận đường tấn công qua mạng, không yêu cầu quyền trước hoặc tương tác của người dùng, nhưng không nêu định dạng dữ liệu, endpoint, API, hàm hoặc đường dẫn mã cụ thể tạo ra lỗi. Vì vậy, chi tiết về payload và chuỗi khai thác không được xác lập trong bằng chứng hiện có.

• Đường tấn công được đánh giá là qua mạng, với độ phức tạp thấp, không yêu cầu xác thực và không cần người dùng tương tác.
• Khai thác thành công có thể dẫn đến thực thi mã trên hệ thống Windows bị ảnh hưởng.
• Bản ghi được cung cấp không xác định một public exploit; dữ liệu CISA ADP được trả về trong quá trình tra cứu ghi nhận trạng thái khai thác là không có tại thời điểm đánh giá đó. Trạng thái này không loại trừ khả năng xuất hiện khai thác mới trong tương lai.
• Không có bằng chứng cho thấy CVE này nằm trong một chiến dịch ransomware hoặc một hoạt động khai thác được nêu đích danh.

• Lỗi có thể dẫn đến thực thi mã từ xa trên hệ thống Windows bị ảnh hưởng sau khi xử lý dữ liệu qua mạng.
• Nếu khai thác thành công, tác động kỹ thuật có thể bao gồm đọc hoặc tiết lộ dữ liệu, sửa đổi dữ liệu hoặc cấu hình, và làm gián đoạn dịch vụ.
• Điều kiện đánh giá không yêu cầu quyền trước hoặc tương tác của người dùng, làm giảm số lượng điều kiện cần có trước khi tấn công.
• Phạm vi ảnh hưởng được đánh giá là không thay đổi, nên hậu quả được mô tả trong bản ghi tập trung vào hệ thống Windows bị khai thác.
• Bằng chứng công khai hiện có không xác định mức quyền cụ thể mà mã chạy với quyền đó, cũng không mô tả liệu có thể vượt qua ranh giới bảo mật khác hay không.

• Một máy chủ hoặc máy trạm có thể bị thực thi mã từ xa nếu còn chạy build bị ảnh hưởng và có thể tiếp cận qua mạng.
• Hậu quả có thể bao gồm mất bí mật dữ liệu, thay đổi trái phép dữ liệu hoặc cấu hình, và gián đoạn dịch vụ trên hệ thống bị xâm nhập.
• Các hệ thống Server Core cũng nằm trong phạm vi bị ảnh hưởng ở một số nhánh, vì vậy không nên giới hạn rà soát ở máy Windows có giao diện đồ họa.
• Bản ghi không cung cấp bằng chứng về một vụ xâm nhập cụ thể, nạn nhân cụ thể hoặc chiến dịch đang khai thác lỗi này.

1. Cài security update của Microsoft theo đúng nhánh sản phẩm. Các build sửa được Microsoft xác nhận gồm:

• Windows 10 Version 1809 và Windows Server 2019: 10.0.17763.9245, security update KB5122876.
• Windows Server 2022: 10.0.20348.5622, security update KB5122882.
• Windows 10 Version 21H2: 10.0.19044.7725, security update KB5122878.
• Windows 10 Version 22H2: 10.0.19045.7725, security update KB5122878.
• Windows 11 Version 23H2: 10.0.22631.7582, security update KB5122880.
• Windows Server 2025: 10.0.26100.33438, security update KB5122871.
• Windows 11 Version 24H2: 10.0.26100.9445, security update KB5124008.
• Windows 11 Version 25H2: 10.0.26200.9445, security update KB5124008.
• Windows 11 version 26H1: 10.0.28000.2954, security update KB5124012.
• Windows 10 Version 1607 và Windows Server 2016: 10.0.14393.9512, security update KB5123099.
• Windows Server 2012: 6.2.9200.26349, monthly rollup KB5123065.
• Windows Server 2012 R2: 6.3.9600.23398, monthly rollup KB5123066.

1. Xác nhận sau khi triển khai rằng từng hệ thống đạt đúng build sửa của nhánh tương ứng. Không coi việc tải xuống hoặc khởi động tác vụ cập nhật là bằng chứng đã được bảo vệ.
2. Ưu tiên các máy có khả năng tiếp nhận kết nối mạng không tin cậy, sau đó mở rộng kiểm tra đến các máy chủ nội bộ và triển khai Server Core.
3. Bằng chứng hiện có không nêu một mitigation thay thế do Microsoft cung cấp. Các biện pháp giảm phơi nhiễm tạm thời không nên được xem là biện pháp sửa lỗi thay cho security update.

1. Kiểm kê các máy trạm và máy chủ Microsoft Windows có sử dụng Windows Imaging Component, bao gồm cả các triển khai Server Core.
2. Đối chiếu nhánh sản phẩm và OS build trong hệ thống quản lý tài sản với các ranh giới bị ảnh hưởng và build đã sửa trong danh sách bên dưới.
3. Kiểm tra trạng thái cài đặt security update tương ứng trong công cụ quản lý bản vá của tổ chức, sau đó xác nhận lại build sau khi khởi động lại nếu bản cập nhật yêu cầu.
4. Ưu tiên rà soát các hệ thống có thể nhận lưu lượng mạng không tin cậy hoặc được công bố qua các vùng mạng mở rộng.
5. Bằng chứng hiện có không cung cấp IOC hoặc sự kiện log đặc thù cho lỗi này. Có thể dùng giám sát chung đối với crash bất thường hoặc hoạt động tiến trình đáng ngờ như biện pháp phòng ngừa, nhưng việc không thấy tín hiệu như vậy không chứng minh hệ thống an toàn.