Lỗi nâng quyền cục bộ do xử lý liên kết trong Microsoft Windows Update Stack

Việc phân giải liên kết không đúng trước khi truy cập tệp ('theo liên kết') trong Windows Update Stack cho phép kẻ tấn công đã được cấp quyền nâng quyền cục bộ.

• Windows 11 version 23H2 và Windows 11 Version 23H2: bị ảnh hưởng từ 10.0.22631.0 đến các phiên bản nhỏ hơn 10.0.22631.7582.
• Windows 11 Version 24H2: bị ảnh hưởng từ 10.0.26100.0 đến các phiên bản nhỏ hơn 10.0.26100.9445.
• Windows 11 Version 25H2: bị ảnh hưởng từ 10.0.26200.0 đến các phiên bản nhỏ hơn 10.0.26200.9445.
• Windows 11 version 26H1: bị ảnh hưởng từ 10.0.28000.0 đến các phiên bản nhỏ hơn 10.0.28000.2954.
• Windows Server 2025 và Windows Server 2025 (Server Core installation): bị ảnh hưởng từ 10.0.26100.0 đến các phiên bản nhỏ hơn 10.0.26100.33438.

Bản ghi không xác nhận trạng thái của các nhánh hoặc sản phẩm khác ngoài danh sách trên.

Lỗi nằm trong Windows Update Stack và thuộc nhóm CWE-59, tức xử lý không đúng liên kết trước khi truy cập tệp, đồng thời liên quan đến kiểm soát truy cập không đầy đủ. Kẻ tấn công đã được cấp quyền trên máy và có quyền hạn thấp có thể tiếp cận thao tác xử lý tệp dễ bị ảnh hưởng mà không cần người dùng khác tương tác. Đánh giá được cung cấp mô tả đường tấn công là cục bộ, độ phức tạp thấp và không yêu cầu xác thực bổ sung ngoài quyền truy cập hiện có. Bản ghi không công bố API, đường dẫn, loại liên kết, thao tác tệp hoặc điều kiện cấu hình cụ thể đã gây ra lỗi. Nếu khai thác thành công, quyền của kẻ tấn công có thể được nâng lên trong cùng phạm vi bảo mật trên máy bị ảnh hưởng.

Bản ghi mô tả khả năng khai thác từ cục bộ bởi một kẻ tấn công đã được cấp quyền với quyền hạn thấp. Đường tấn công không yêu cầu tương tác của người dùng và được đánh giá có độ phức tạp thấp. Bản ghi đánh dấu lỗ hổng là đã bị khai thác thực tế và có public exploit. Chi tiết về exploit, payload, nhóm tấn công, nạn nhân hoặc chiến dịch cụ thể không được cung cấp.

• Khai thác thành công cho phép nâng quyền cục bộ trên máy bị ảnh hưởng, trong khi phạm vi bảo mật được đánh giá là không thay đổi.
• Đánh giá tác động được cung cấp cho thấy các hậu quả đối với tính bí mật, tính toàn vẹn và tính sẵn sàng đều ở mức cao.
• Kẻ tấn công cần có quyền truy cập cục bộ và quyền hạn ban đầu thấp, nhưng không cần tương tác của người dùng và không cần điều kiện khai thác phức tạp.
• Tác động cụ thể sau khi nâng quyền, chẳng hạn thao tác nào được thực hiện hoặc dữ liệu nào bị truy cập, không được nêu trong bằng chứng hiện có.

• Máy trạm hoặc máy chủ chạy phiên bản bị ảnh hưởng có nguy cơ bị kẻ tấn công đã có quyền truy cập cục bộ giành thêm quyền trên cùng hệ thống.
• Việc nâng quyền thành công có thể làm suy giảm tính bảo mật của dữ liệu, tính toàn vẹn của hệ thống và khả năng cung cấp dịch vụ trên máy bị ảnh hưởng.
• Vì đường tấn công là cục bộ, lỗ hổng không tự nó mô tả một điểm vào từ xa; tổ chức vẫn cần xem xét các tài khoản, phiên đăng nhập và phần mềm đã tạo foothold cục bộ.
• Tình trạng đã bị khai thác thực tế và có public exploit làm tăng rủi ro vận hành đối với các tài sản chưa được cập nhật. Bản ghi không xác nhận một vụ xâm nhập, chiến dịch ransomware hoặc tổn thất cụ thể nào.

1. Xác định nhánh Windows và build trên từng tài sản, sau đó cài đặt bản cập nhật bảo mật của Microsoft đưa Windows 11 version 23H2 lên build 10.0.22631.7582.
2. Đối với Windows 11 Version 24H2, cài đặt bản cập nhật đưa hệ thống lên build 10.0.26100.9445.
3. Đối với Windows 11 Version 25H2, cài đặt bản cập nhật đưa hệ thống lên build 10.0.26200.9445; đối với Windows 11 version 26H1, đưa hệ thống lên build 10.0.28000.2954.
4. Đối với Windows Server 2025, bao gồm Server Core, cài đặt bản cập nhật đưa hệ thống lên build 10.0.26100.33438.
5. Xác minh lại build sau khi cập nhật trong hệ thống quản lý bản vá và xử lý riêng từng nhánh. Không nên coi bản sửa cho một nhánh là bằng chứng rằng các nhánh khác đã an toàn. Bản ghi không cung cấp biện pháp giảm thiểu thay thế ngoài việc cập nhật.

• Kiểm kê các máy chạy Windows 11 version 23H2, Windows 11 Version 24H2, Windows 11 Version 25H2, Windows 11 version 26H1 và Windows Server 2025, bao gồm bản Server Core.
• Ghi nhận phiên bản OS build thực tế trên từng máy và đối chiếu với các khoảng bị ảnh hưởng trong affected_summary.
• Kiểm tra hệ thống quản lý bản vá để xác nhận bản cập nhật bảo mật tương ứng với từng nhánh đã được cài đặt.
• Ưu tiên rà soát các máy vẫn nằm dưới ngưỡng build khắc phục vì bản ghi cho biết lỗ hổng đã bị khai thác và có public exploit.
• Không có IOC, sự kiện log hoặc mẫu telemetry cụ thể nào được cung cấp. Có thể dùng EDR và nhật ký nâng quyền để giám sát bổ sung, nhưng đó chỉ là biện pháp phòng ngừa và việc không thấy sự kiện không chứng minh máy an toàn.