Microsoft PowerShell bị bypass security feature do kiểm tra standard triển khai sai

Cơ chế kiểm tra bảo mật đối với standard được triển khai không đúng trong Microsoft PowerShell cho phép kẻ tấn công không được cấp quyền vượt qua một tính năng bảo mật qua mạng.

• Microsoft PowerShell 7.4: affected từ 7.4.0 đến mọi phiên bản nhỏ hơn 7.4.21; ranh giới cập nhật được ghi nhận là 7.4.21.
• Microsoft PowerShell 7.5: affected từ 7.5.0 đến mọi phiên bản nhỏ hơn 7.5.12; ranh giới cập nhật được ghi nhận là 7.5.12.
• Microsoft PowerShell 7.6: affected từ 7.6.0 đến mọi phiên bản nhỏ hơn 7.6.7; ranh giới cập nhật được ghi nhận là 7.6.7.

Bản ghi không xác định trạng thái của các release branch hoặc phiên bản PowerShell khác ngoài những phạm vi trên.

Microsoft PowerShell mắc lỗi CWE-358 do triển khai không đúng một cơ chế kiểm tra bảo mật đối với standard. Bản ghi công khai không xác định standard cụ thể, thành phần mã, giao thức, endpoint hoặc dạng input liên quan, nên không thể mô tả chính xác điều kiện xử lý bên trong. Đánh giá có cấu trúc cho biết chức năng liên quan có thể bị tiếp cận qua mạng, không yêu cầu attacker đã có privilege, có độ phức tạp thấp và cần user interaction. Kết quả được mô tả là bypass một security feature; chi tiết về security feature nào bị vượt qua và hành động nào có thể thực hiện sau đó vẫn chưa được công bố. Phạm vi ảnh hưởng được giới hạn ở các release branch được nêu trong affected_summary.

• Khả năng tiếp cận: Qua mạng.
• Privilege: Đánh giá có cấu trúc cho biết không yêu cầu privilege trước đó.
• Độ phức tạp: Thấp.
• Tương tác: Cần user interaction.
• Trạng thái khai thác: Bản ghi được cung cấp không xác định public exploit; phần CISA enrichment trong dữ liệu trả về ghi nhận exploitation là none và automatable là no. Đây là trạng thái được ghi nhận trong dữ liệu hiện có, không phải bằng chứng rằng việc khai thác không thể xảy ra trong tương lai.

Lỗi cho phép bypass một security feature, với tác động chính được đánh giá là lên integrity thay vì trực tiếp làm lộ dữ liệu hoặc gây mất availability. Scope được đánh giá là unchanged, và bản ghi không thiết lập privilege escalation, code execution, data disclosure hoặc service outage. Trong điều kiện phù hợp, attacker có thể làm cho một hoạt động bị security feature kiểm soát được tiếp tục, nhưng security feature và hậu quả cụ thể chưa được công bố. Tác động thực tế vì vậy phụ thuộc vào chức năng mà từng tổ chức đang dùng PowerShell để bảo vệ.

Các hệ thống Microsoft PowerShell nằm trong phạm vi ảnh hưởng có thể cho phép một yêu cầu từ mạng vượt qua cơ chế kiểm soát bảo mật sau khi có user interaction. Nếu xảy ra trong workflow quản trị hoặc tự động hóa, điều này có thể làm suy yếu policy enforcement hoặc tính toàn vẹn của thao tác mà security feature vốn phải ngăn chặn. Đánh giá có cấu trúc chỉ ra tác động cao đến integrity và không chỉ ra tác động đến confidentiality hoặc availability. Bản ghi không xác định quy trình nghiệp vụ, dữ liệu hoặc tài sản cụ thể có thể bị ảnh hưởng.

1. Cập nhật theo đúng release branch: nâng Microsoft PowerShell 7.4 lên 7.4.21, PowerShell 7.5 lên 7.5.12, hoặc PowerShell 7.6 lên 7.6.7, tương ứng với branch đang triển khai.
2. Xác minh sau cập nhật rằng phiên bản thực tế đã vượt qua ranh giới affected của branch tương ứng; không thay thế một bản cập nhật branch này bằng giả định rằng branch khác cũng đã được sửa.
3. Ưu tiên xử lý các máy chủ hoặc workflow có chức năng PowerShell được tiếp cận qua mạng và yêu cầu user interaction.
4. Bản ghi không cung cấp workaround được xác nhận. Không nên coi thay đổi cấu hình chưa được Microsoft xác nhận là biện pháp sửa lỗi tương đương với bản cập nhật.

1. Lập inventory tất cả cài đặt Microsoft PowerShell và ghi nhận release branch cùng phiên bản thực tế trên máy chủ, máy trạm và image triển khai.
2. Đối chiếu từng phiên bản với các ranh giới trong affected_summary; không chỉ kiểm tra tên sản phẩm hoặc major branch.
3. Rà soát những workflow, dịch vụ hoặc cổng mạng cho phép yêu cầu từ xa dẫn tới chức năng PowerShell, nhưng lưu ý rằng bản ghi không nêu endpoint hay giao thức cụ thể.
4. Kiểm tra log để tìm các hoạt động bất thường liên quan đến security feature mà tổ chức đang bảo vệ. Đây chỉ là biện pháp giám sát phòng ngừa vì bản ghi không cung cấp event name, IOC hoặc log pattern đã được xác nhận.
5. Không coi việc không thấy log đáng ngờ là bằng chứng hệ thống an toàn.