Command injection trong Microsoft Windows Shell cho phép vượt qua tính năng bảo mật trên Windows và Outlook.com

Việc trung hòa không đúng các phần tử đặc biệt được sử dụng trong một lệnh ('command injection') trong Windows Shell cho phép kẻ tấn công không được cấp quyền vượt qua một tính năng bảo mật qua mạng.

• Microsoft Outlook.com: affected từ 1.0.0 đến trước 20260925.100.
• Microsoft Windows 10 Version 1607: affected từ 10.0.14393.0 đến trước 10.0.14393.9612.
• Microsoft Windows Server 2016, gồm Server Core installation: affected từ 10.0.14393.0 đến trước 10.0.14393.9612.
• Microsoft Windows 10 Version 1809: affected từ 10.0.17763.0 đến trước 10.0.17763.9376.
• Microsoft Windows Server 2019, gồm Server Core installation: affected từ 10.0.17763.0 đến trước 10.0.17763.9376.
• Microsoft Windows 10 Version 21H2: affected từ 10.0.19044.0 đến trước 10.0.19044.7807.
• Microsoft Windows 10 Version 22H2: affected từ 10.0.19045.0 đến trước 10.0.19044.7807, theo đúng dữ liệu phiên bản trong bản ghi.
• Microsoft Windows 11 Version 23H2: affected từ 10.0.22631.0 đến trước 10.0.22631.7652; bản ghi bao gồm cả ARM64 và x64.
• Microsoft Windows 11 Version 24H2: affected từ 10.0.26100.0 đến trước 10.0.26100.9711.
• Microsoft Windows 11 Version 25H2: affected từ 10.0.26200.0 đến trước 10.0.26200.9711.
• Microsoft Windows 11 version 26H1: affected từ 10.0.28000.0 đến trước 10.0.28000.3231.
• Microsoft Windows 11 Version 26H2: affected từ 10.0.26300.0 đến trước 10.0.26300.9711.
• Microsoft Windows Server 2012 R2, gồm Server Core installation: affected từ 6.3.9600.0 đến trước 6.3.9600.23470.
• Microsoft Windows Server 2022: affected từ 10.0.20348.0 đến trước 10.0.20348.5761.
• Microsoft Windows Server 2025, gồm Server Core installation: affected từ 10.0.26100.0 đến trước 10.0.26100.33650.

Các mốc trên là ranh giới theo từng nhánh được cung cấp. Việc một nhánh có mốc cập nhật không chứng minh rằng mọi nhánh mới hơn hoặc song song đều không bị ảnh hưởng.

Lỗ hổng thuộc CWE-77, xảy ra khi các phần tử đặc biệt trong lệnh không được trung hòa đúng cách trước khi được Windows Shell xử lý. Theo bản ghi, kẻ tấn công có thể tiếp cận qua mạng, không cần đặc quyền trước, nhưng cần có tương tác của người dùng. Đánh giá cung cấp cho biết độ phức tạp tấn công thấp và phạm vi ảnh hưởng không thay đổi. Bản ghi không nêu lệnh, tham số, giao diện, parser hoặc ranh giới xử lý cụ thể mà attacker-controlled input đi qua, cũng không xác định chính xác security feature bị vượt qua.

• Lỗ hổng có thể bị khai thác qua mạng.
• Kẻ tấn công không cần xác thực hoặc đặc quyền trước, nhưng cần tương tác của người dùng.
• Bản ghi đánh giá độ phức tạp tấn công là thấp.
• Mục CISA Known Exploited Vulnerabilities xác nhận đã có khai thác thực tế. Việc sử dụng trong ransomware được ghi nhận là chưa rõ.
• Bản ghi được cung cấp không xác định public exploit; thông tin này không phủ nhận trạng thái đã bị khai thác được CISA ghi nhận.
• Không có payload, chuỗi khai thác hoặc điều kiện triển khai cụ thể nào được công bố trong bằng chứng hiện có.

Lỗi cho phép attacker-controlled input chứa các phần tử đặc biệt trong lệnh vượt qua quá trình trung hòa và dẫn đến việc bypass một security feature. Đánh giá cung cấp cho biết tác động tiềm tàng đến confidentiality, integrity và availability đều cao, nhưng bằng chứng hiện có không xác nhận code execution, persistence, escalation of privilege hoặc một dạng truy cập dữ liệu cụ thể. Vì scope được đánh giá là không thay đổi, hậu quả chính được mô tả vẫn nằm trong phạm vi thành phần hoặc hệ thống bị khai thác. Ở cấp tổ chức, sự cố có thể làm giảm hiệu lực của kiểm soát bảo mật, yêu cầu điều tra khẩn cấp và làm gián đoạn kế hoạch vận hành khi phải cập nhật nhiều nhánh Windows và Windows Server. Mức độ ảnh hưởng thực tế còn phụ thuộc vào security feature cụ thể, đường vào của input và tương tác của người dùng, những chi tiết chưa được công bố.

• Khai thác thành công có thể làm suy yếu hoặc vô hiệu hóa một tính năng bảo mật trên các hệ thống bị ảnh hưởng.
• Đánh giá cung cấp cho biết tác động tiềm tàng đến tính bảo mật, toàn vẹn và khả dụng đều ở mức cao, nhưng không xác nhận một kịch bản chiếm quyền, đánh cắp dữ liệu hoặc phá hoại cụ thể.
• Phạm vi sản phẩm rộng, gồm Windows client, Windows Server, các cài đặt Server Core và mục Outlook.com, làm tăng yêu cầu kiểm kê và phân loại tài sản.
• Vì đã có xác nhận khai thác, các hệ thống chưa được cập nhật có thể tạo thêm rủi ro vận hành và rủi ro vượt qua kiểm soát bảo mật.
• Bản ghi không cho biết dữ liệu, dịch vụ hoặc nhóm người dùng cụ thể nào đã bị ảnh hưởng.

1. Cập nhật theo đúng nhánh sản phẩm: cài bản cập nhật Microsoft tương ứng để phiên bản thực tế không còn nằm dưới ranh giới lessThan của nhánh bị ảnh hưởng trong affected_summary. Bản ghi cho biết bản vá đã có, nhưng không cung cấp mã KB hoặc hướng dẫn cài đặt chi tiết.
2. Xử lý từng nhánh độc lập: không dùng mốc cập nhật của Windows client để kết luận cho Windows Server, Server Core, Outlook.com hoặc nhánh Windows khác. Riêng Windows 10 Version 22H2 cần đối chiếu cẩn thận vì ranh giới phiên bản được ghi nhận là 10.0.19044.7807.
3. Ưu tiên tài sản có khả năng tiếp cận qua mạng: tập trung trước vào các máy chưa cập nhật, đặc biệt những tài sản có quy trình yêu cầu người dùng tương tác với nội dung từ nguồn không tin cậy.
4. Đối với Outlook.com: thực hiện hướng dẫn xử lý phía dịch vụ do Microsoft cung cấp; bản ghi không mô tả cách cập nhật cục bộ hoặc phạm vi triển khai dịch vụ.
5. Nếu chưa thể cập nhật: chỉ áp dụng mitigation được Microsoft hoặc CISA xác nhận cho đúng sản phẩm và nhánh. Bản ghi được cung cấp không nêu workaround kỹ thuật cụ thể, vì vậy không nên tự suy diễn biện pháp thay thế.
6. Điều tra tài sản có dấu hiệu bị khai thác: do CISA xác nhận lỗ hổng đã bị khai thác, thực hiện incident response và forensics theo quy trình nội bộ trên các hệ thống thuộc phạm vi ảnh hưởng. Không có IOC cụ thể được cung cấp trong bản ghi.

1. Kiểm kê các hệ thống Microsoft Windows và Windows Server, bao gồm cả các triển khai Server Core, rồi ghi nhận chính xác build hiện tại.
2. Đối chiếu từng build với các nhánh bị ảnh hưởng và các mốc phiên bản tương ứng trong affected_summary; không suy ra trạng thái của nhánh khác từ một bản cập nhật cho nhánh này.
3. Với Outlook.com, xác minh trạng thái dịch vụ và hướng dẫn xử lý từ Microsoft thay vì cố thực hiện kiểm tra phiên bản cục bộ.
4. Ưu tiên rà soát các tài sản có khả năng tiếp cận từ mạng và các quy trình có yêu cầu người dùng mở hoặc tương tác với nội dung không tin cậy.
5. Do việc khai thác đã được xác nhận, thực hiện incident triage và forensics theo quy trình của tổ chức trên các tài sản có phiên bản bị ảnh hưởng. Bản ghi không cung cấp IOC, sự kiện log hoặc mẫu telemetry cụ thể.
6. Việc không thấy bằng chứng trong log không chứng minh hệ thống an toàn; cần kết hợp inventory, trạng thái cập nhật và điều tra sự cố.