Thực thi mã từ xa qua lỗi duyệt đường dẫn tương đối trong Microsoft PowerShell

Lỗi duyệt đường dẫn tương đối trong Microsoft PowerShell Core cho phép kẻ tấn công không được ủy quyền thực thi mã qua mạng.

• Microsoft PowerShell 7.4: bị ảnh hưởng từ 7.4.0, với điều kiện lessThan: 7.4.19.0.
• Microsoft PowerShell 7.5: bị ảnh hưởng từ 7.5.0, với điều kiện lessThan: 7.5.10.0.
• Microsoft PowerShell 7.6: bị ảnh hưởng từ 7.6.0, với điều kiện lessThan: 7.6.5.

Bản ghi không xác định các branch PowerShell khác hoặc deployment phụ thuộc hệ điều hành nào ngoài các range nêu trên là bị ảnh hưởng. Không suy luận trạng thái của các phiên bản nằm ngoài đúng các range này.

Lỗi thuộc CWE-23, Relative Path Traversal, xảy ra khi đường dẫn tương đối do kẻ tấn công cung cấp hoặc kiểm soát được xử lý vượt ra ngoài thư mục dự kiến vì không được giới hạn đầy đủ. Với bản ghi này, thành phần PowerShell bị lỗi, trường dữ liệu cụ thể do kẻ tấn công kiểm soát, giao thức mạng và endpoint liên quan chưa được công bố. Các đặc điểm tấn công được ghi nhận gồm khả năng tiếp cận qua mạng, độ phức tạp thấp, không yêu cầu quyền trước khi tấn công và cần có user interaction. Khi việc xử lý đường dẫn bị lỗi được kích hoạt, hậu quả được mô tả là thực thi mã, trong cùng security scope với thành phần bị ảnh hưởng. Bản ghi không cho biết mã được thực thi dưới tài khoản dịch vụ, tài khoản người dùng tương tác hay context nào khác.

Lỗ hổng có thể được tiếp cận qua mạng và bản ghi cho biết không cần quyền trước khi khai thác. Attack complexity được đánh giá là thấp, nhưng cần user interaction, vì vậy kẻ tấn công không được mặc định là có thể thành công nếu không có người dùng hoặc một quy trình do người dùng khởi động tham gia. Bản ghi được cung cấp đánh dấu public exploit là false và không xác nhận trạng thái known exploited. Phần CISA ADP enrichment được trả về ghi nhận exploitation là none và automatable là no trong đánh giá của nguồn đó; thông tin này không chứng minh rằng khai thác trong tương lai là không thể. Evidence hiện có không mô tả exploit step, payload, campaign, nạn nhân hoặc indicator cụ thể.

Khai thác thành công có thể dẫn đến thực thi mã từ xa trong context thực thi của PowerShell bị ảnh hưởng. Tùy thuộc vào quyền của context này, hậu quả có thể gồm mất tính bí mật của dữ liệu, thay đổi dữ liệu hoặc trạng thái hệ thống và ảnh hưởng đến tính sẵn sàng. Scope được ghi nhận là unchanged, do đó tác động được mô tả nằm trong các tài nguyên do cùng security authority với thành phần bị lỗi quản lý. Bản ghi không cho thấy thực thi mã tự động đem lại quyền administrator hoặc system-level, và không cung cấp chi tiết post-exploitation.

Khai thác thành công có thể cho phép kẻ tấn công thực thi mã trong security context của PowerShell. Tùy thuộc vào quyền của context đó, kẻ tấn công có thể đọc dữ liệu nhạy cảm, thay đổi file hoặc cấu hình và ảnh hưởng đến tính sẵn sàng của dịch vụ. Do cần user interaction, rủi ro phụ thuộc vào việc kẻ tấn công thuyết phục hoặc bằng cách khác khiến người dùng hay quy trình do người dùng điều khiển tham gia. Evidence hiện có không xác nhận tổ chức nào đã bị xâm nhập hoặc cuộc tấn công nào đã xảy ra.

1. Nâng cấp từng branch bị ảnh hưởng lên boundary release tương ứng được ghi nhận là nằm ngoài range bị ảnh hưởng: PowerShell 7.4 lên 7.4.19.0, PowerShell 7.5 lên 7.5.10.0 và PowerShell 7.6 lên 7.6.5.
2. Sau khi triển khai, xác minh build thực tế không còn nằm trong range bị ảnh hưởng của branch tương ứng. Không coi việc đã sửa một branch là bằng chứng các branch song song an toàn.
3. Bản ghi không cung cấp workaround cụ thể của nhà cung cấp. Nếu chưa thể cập nhật ngay, có thể áp dụng các biện pháp giảm phơi nhiễm mạng theo quy trình quản trị rủi ro của tổ chức, nhưng đây chỉ là biện pháp phòng ngừa và không thay thế bản cập nhật đã xác nhận.

1. Kiểm kê các package PowerShell, binary, container và máy chủ được quản lý, đồng thời ghi lại branch và build chính xác của từng cài đặt.
2. Đối chiếu từng build với các boundary bị ảnh hưởng theo từng branch trong affected_summary, ưu tiên các cài đặt nằm trong một range đã được liệt kê.
3. Xác định các deployment trong đó PowerShell xử lý input đến từ mạng hoặc được gọi bởi dịch vụ hướng mạng, vì bản ghi chỉ xác nhận khả năng tiếp cận qua mạng mà không nêu endpoint cụ thể.
4. Như một biện pháp phòng ngừa, rà soát telemetry về tạo process, thực thi script và truy cập file để tìm hoạt động bất thường liên quan đến PowerShell sau các request đáng ngờ có input dạng đường dẫn. Đây là các điểm rà soát chung, không phải indicator đã được xác nhận cho lỗ hổng này.
5. Không coi việc không thấy log phù hợp là bằng chứng hệ thống an toàn; cần xác minh build và trạng thái cập nhật thực tế.