Lỗ hổng thiếu ủy quyền trong Tanium Threat Response cho phép thay đổi suppression rule trái phép

Tanium đã khắc phục một lỗ hổng kiểm soát truy cập không phù hợp trong Threat Response.

Tanium xác định các nhánh sau bị ảnh hưởng:

• Threat Response 4.9 trước 4.9.454.
• Threat Response 4.12 trước 4.12.324.
• Threat Response 4.17 trước 4.17.292.

CVE record để trạng thái mặc định là unknown. Tanium nêu các bản cập nhật tương ứng là 4.9.454, 4.12.324 và 4.17.292; trạng thái của các nhánh song song không được liệt kê vẫn cần được xác minh riêng.

Đây là lỗi thiếu ủy quyền thuộc CWE-862 trong Threat Response. Người dùng Tanium đã xác thực và có quyền Threat Response Intel Write có thể gửi thao tác tạo hoặc sửa suppression rule, dù việc kiểm tra quyền đối với thao tác này không đầy đủ. Khả năng truy cập qua mạng và việc không yêu cầu tương tác của người dùng được thể hiện trong hồ sơ; cơ chế triển khai cụ thể, endpoint và điều kiện kiểm tra quyền bị thiếu chưa được Tanium công bố. Phạm vi ảnh hưởng được ghi nhận là không thay đổi, và hoạt động khai thác cần tài khoản có quyền cao. Các chi tiết triển khai khác, bao gồm định dạng request và cách suppression rule được áp dụng, vẫn chưa rõ.

• Lỗ hổng có thể được tiếp cận qua mạng và không yêu cầu tương tác của người dùng.
• Điều kiện tiên quyết là kẻ tấn công phải đăng nhập bằng tài khoản Tanium có quyền cao, cụ thể là quyền Threat Response Intel Write.
• Hồ sơ ghi nhận độ phức tạp khai thác thấp, nhưng không mô tả endpoint, request hoặc chuỗi thao tác cụ thể.
• Bản ghi được cung cấp đánh dấu không có public exploit. Trạng thái khai thác thực tế không được xác nhận, vì trường known exploited không có dữ liệu.

• Tính toàn vẹn: Người dùng có quyền cao có thể tạo hoặc sửa suppression rule trái phép, làm thay đổi cấu hình xử lý của Threat Response.
• Khả năng phát hiện và phản ứng: Các rule bị thay đổi có thể khiến một số hoạt động bị bỏ qua hoặc xử lý khác dự kiến; đây là hệ quả có thể xảy ra, không phải chi tiết được Tanium xác nhận cho mọi cấu hình.
• Tính bí mật: Hồ sơ ghi nhận tác động giới hạn đến tính bí mật, nhưng không mô tả dữ liệu cụ thể có thể bị truy cập.
• Phạm vi và tính sẵn sàng: Phạm vi được ghi nhận là không thay đổi và không có tác động đến tính sẵn sàng.

Rủi ro vận hành chính là người dùng đã có quyền cao có thể thay đổi cấu hình suppression rule ngoài phạm vi được cho phép. Những thay đổi này có thể làm giảm khả năng phát hiện hoặc phản ứng đối với một số hoạt động, tùy thuộc vào rule bị tạo hoặc sửa. Hồ sơ mô tả tác động ở mức thấp đối với tính bí mật và tính toàn vẹn, không ghi nhận tác động đến tính sẵn sàng. Bằng chứng được cung cấp không xác nhận một vụ xâm phạm, mất dịch vụ hoặc sự cố lan rộng.

1. Với nhánh Threat Response 4.9, cài Update 25, tương ứng với Threat Response 4.9.454, hoặc bản mới hơn trong cùng nhánh theo hướng dẫn của Tanium.
2. Với nhánh Threat Response 4.12, cài Update 15, tương ứng với Threat Response 4.12.324, hoặc bản mới hơn trong cùng nhánh.
3. Với nhánh Threat Response 4.17, cài Update 8, tương ứng với Threat Response 4.17.292, hoặc bản mới hơn trong cùng nhánh.
4. Sau khi cập nhật, xác minh lại build đã triển khai và kiểm tra việc người dùng có quyền Threat Response Intel Write chỉ thực hiện được các thay đổi suppression rule được cho phép.
5. Tanium không công bố workaround hoặc mitigation cho lỗ hổng này.

1. Kiểm kê các triển khai Tanium Threat Response và đối chiếu build đang chạy với các mốc đã sửa trong phần remediation.
2. Rà soát việc cấp quyền Threat Response Intel Write, đặc biệt đối với các tài khoản có thể tạo hoặc sửa suppression rule.
3. Nếu hệ thống có audit record cho thay đổi suppression rule, kiểm tra các thay đổi bất thường về người thực hiện, thời điểm và nội dung. Đây là biện pháp rà soát phòng ngừa, không phải IOC đã được Tanium xác nhận.
4. Bản advisory không cung cấp log signature hoặc IOC cụ thể. Không có sự kiện đáng ngờ trong log không chứng minh hệ thống không bị ảnh hưởng.