Lỗi use-after-free trong Microsoft OpenSSH for Windows cho phép thực thi mã từ xa

Lỗi use-after-free trong OpenSSH for Windows cho phép kẻ tấn công không được ủy quyền thực thi mã qua mạng.

• Windows 10 Version 1809: bản ghi đánh dấu 10.0.17763.0 là phiên bản bị ảnh hưởng khi thấp hơn 10.0.17763.9376.
• Windows 10 Version 21H2: bản ghi đánh dấu 10.0.19044.0 là phiên bản bị ảnh hưởng khi thấp hơn 10.0.19044.7807.
• Windows 10 Version 22H2: bản ghi đánh dấu 10.0.19045.0 là phiên bản bị ảnh hưởng khi thấp hơn 10.0.19045.7807.
• Windows 11 version 23H2: bản ghi liệt kê hai mục có cùng phạm vi, với 10.0.22631.0 bị ảnh hưởng khi thấp hơn 10.0.22631.7652.
• Windows 11 Version 24H2: 10.0.26100.0 bị ảnh hưởng khi thấp hơn 10.0.26100.9711.
• Windows 11 Version 25H2: 10.0.26200.0 bị ảnh hưởng khi thấp hơn 10.0.26200.9711.
• Windows 11 version 26H1: 10.0.28000.0 bị ảnh hưởng khi thấp hơn 10.0.28000.3231.
• Windows 11 Version 26H2: 10.0.26300.0 bị ảnh hưởng khi thấp hơn 10.0.26300.9711.
• Windows Server 2019 và Windows Server 2019 (Server Core installation): 10.0.17763.0 bị ảnh hưởng khi thấp hơn 10.0.17763.9376.
• Windows Server 2022: 10.0.20348.0 bị ảnh hưởng khi thấp hơn 10.0.20348.5761.
• Windows Server 2025 và Windows Server 2025 (Server Core installation): 10.0.26100.0 bị ảnh hưởng khi thấp hơn 10.0.26100.33650.

Microsoft OpenSSH for Windows mắc lỗi CWE-416, Use After Free, trong đó một vùng nhớ có thể bị sử dụng sau khi đã được giải phóng. Một tương tác qua mạng do kẻ tấn công kiểm soát có thể tiếp cận đường xử lý bị ảnh hưởng và dẫn đến thực thi mã từ xa, nhưng hồ sơ không nêu thông điệp giao thức, yêu cầu cụ thể hoặc đường dẫn mã gây lỗi. Đặc tính tấn công được cung cấp cho biết không cần xác thực, không cần quyền trước đó, không cần người dùng tương tác và có độ phức tạp thấp. Hồ sơ không xác định cấu hình dịch vụ bắt buộc, giao diện lắng nghe hoặc ngữ cảnh đặc quyền mà mã độc sẽ nhận được. Chi tiết triển khai cụ thể của lỗi use-after-free vẫn chưa được công bố trong bằng chứng hiện có.

Lỗ hổng có thể bị khai thác qua mạng đối với hệ thống có OpenSSH for Windows có thể tiếp cận từ mạng. Theo đặc tính tấn công trong hồ sơ, kẻ tấn công không cần xác thực, không cần quyền trước đó, không cần người dùng tương tác và điều kiện khai thác được đánh giá là có độ phức tạp thấp. Hồ sơ được cung cấp không ghi nhận public exploit và trường known_exploited không có giá trị xác nhận khai thác đã biết. Bản ghi SSVC được tra cứu thể hiện trạng thái exploitation là none, nhưng đây chỉ là một đánh giá có phạm vi giới hạn và không loại trừ hoạt động chưa được báo cáo hoặc hoạt động phát sinh sau đó.

Về kỹ thuật, lỗi quản lý vòng đời bộ nhớ có thể bị chuyển thành thực thi mã từ xa trên máy chủ bị ảnh hưởng. Nếu khai thác thành công, kẻ tấn công có thể tác động đến tính bí mật, tính toàn vẹn và tính sẵn sàng của hệ thống. Đường tấn công được mô tả là không cần xác thực và không cần tương tác của người dùng, trong khi phạm vi tác động được đánh giá là không thay đổi ngoài máy bị ảnh hưởng. Hồ sơ không cho biết mã được thực thi với đặc quyền của dịch vụ, người dùng hay hệ thống, nên không nên khẳng định mức đặc quyền sau khai thác. Cũng chưa có bằng chứng cho thấy lỗ hổng tự động mở rộng sang các máy khác.

Khai thác thành công có thể cho phép thực thi mã trên máy Windows bị ảnh hưởng, dẫn đến nguy cơ mất tính bí mật, tính toàn vẹn và tính sẵn sàng của hệ thống. Vì không cần tài khoản hoặc thao tác của người dùng, các máy có khả năng tiếp cận từ mạng nên được ưu tiên rà soát và cập nhật. Tác động thực tế có thể phụ thuộc vào đặc quyền của tiến trình bị khai thác và cấu hình triển khai, nhưng hồ sơ không xác định các chi tiết này. Không có bằng chứng trong hồ sơ cho thấy một tổ chức cụ thể đã bị xâm nhập.

1. Áp dụng bản cập nhật Microsoft cho mọi nhánh bị ảnh hưởng. Xác nhận build sau cập nhật không còn thấp hơn ranh giới tương ứng: 10.0.17763.9376 cho Windows 10 Version 1809 và Windows Server 2019, 10.0.19044.7807 cho Windows 10 Version 21H2, 10.0.19045.7807 cho Windows 10 Version 22H2, 10.0.22631.7652 cho Windows 11 Version 23H2, 10.0.26100.9711 cho Windows 11 Version 24H2, 10.0.26200.9711 cho Windows 11 Version 25H2, 10.0.28000.3231 cho Windows 11 version 26H1, 10.0.26300.9711 cho Windows 11 Version 26H2, 10.0.20348.5761 cho Windows Server 2022 và 10.0.26100.33650 cho Windows Server 2025.
2. Bao gồm cả các triển khai Server Core trong phạm vi kiểm tra và triển khai bản vá. Không coi việc cập nhật một nhánh Windows là bằng chứng rằng các nhánh song song đã được khắc phục.
3. Nếu chưa thể cập nhật ngay, hạn chế khả năng truy cập mạng tới các máy có OpenSSH for Windows như một biện pháp phòng ngừa tạm thời. Hồ sơ được cung cấp không nêu mitigation tạm thời cụ thể do Microsoft xác nhận.
4. Sau khi triển khai, kiểm tra lại inventory, trạng thái bản vá và khả năng tiếp cận mạng của dịch vụ để xác nhận các hệ thống bị ảnh hưởng đã được xử lý.

1. Kiểm kê các máy Windows client và server có cài đặt, bật hoặc cho phép truy cập mạng tới OpenSSH for Windows.
2. Ghi nhận edition, nhánh hệ điều hành và build hiện tại, bao gồm các máy Windows Server Core.
3. Đối chiếu build với các ranh giới theo từng nhánh trong mục affected_summary; không suy luận trạng thái an toàn của một nhánh từ việc đã cập nhật một nhánh khác.
4. Kiểm tra hệ thống quản lý bản vá để xác nhận bản cập nhật Microsoft đã được áp dụng thành công và khởi động lại hoặc hoàn tất các bước triển khai còn thiếu nếu quy trình của tổ chức yêu cầu.
5. Rà soát nhật ký mạng và telemetry của máy chủ để tìm các kết nối đến hệ thống có OpenSSH for Windows và hành vi bất thường sau khi hệ thống từng ở trạng thái bị ảnh hưởng. Đây là biện pháp giám sát phòng ngừa, không phải IOC riêng cho CVE này.
6. Không có IOC, sự kiện nhật ký, đường dẫn tệp hoặc tên hàm cụ thể được cung cấp. Việc không thấy dấu hiệu đáng ngờ không chứng minh hệ thống không bị ảnh hưởng hoặc chưa bị khai thác.