Một mã khai thác (PoC) công khai đã được phát hành cho lỗ hổng CVE-2026-42980, một lỗ hổng leo thang đặc quyền cục bộ (Local Privilege Escalation – LPE) trong nhân hệ điều hành Windows NT. Lỗ hổng nghiêm trọng này xuất phát từ một lỗi tràn số nguyên dưới (integer underflow) trong mã chế độ kernel, cho phép kẻ tấn công cục bộ có đặc quyền thấp có thể chiếm quyền điều khiển toàn bộ hệ thống.
Tổng quan về CVE-2026-42980
CVE-2026-42980 được phân loại là lỗi leo thang đặc quyền (Elevation-of-Privilege) ảnh hưởng đến Kernel của Hệ điều hành Windows NT. Cụ thể, nguyên nhân gốc rễ của lỗ hổng là một điều kiện tràn số nguyên dưới (integer underflow hay wraparound) xảy ra trong một đường dẫn mã kernel nhất định.
Lỗi tràn số nguyên dưới có thể dẫn đến các phép tính số học không chính xác. Trong ngữ cảnh của kernel, điều này có thể gây ra hành vi không an toàn và tiềm ẩn cho phép thực thi mã trong một ngữ cảnh đặc quyền cao.
Cơ chế khai thác và Tác động
Quy trình khai thác chi tiết
Một kẻ tấn công đã xác thực cục bộ với đặc quyền thấp có thể kích hoạt lỗi xử lý số học không chính xác này. Điều này dẫn đến các hành vi không mong muốn trong kernel, cuối cùng cho phép kẻ tấn công thực thi mã trong một ngữ cảnh có đặc quyền cao.
Quá trình khai thác thành công cho phép kẻ tấn công leo thang đặc quyền của họ từ một tài khoản người dùng tiêu chuẩn lên cấp độ NT AUTHORITY\SYSTEM. Đây là mức đặc quyền cao nhất trên hệ thống Windows, tương đương với quyền root trên các hệ thống Linux/Unix.
Việc đạt được đặc quyền NT AUTHORITY\SYSTEM cấp cho kẻ tấn công quyền kiểm soát hoàn toàn đối với máy chủ Windows bị ảnh hưởng. Điều này bao gồm khả năng cài đặt phần mềm, thay đổi cấu hình hệ thống, truy cập dữ liệu nhạy cảm và tắt các biện pháp bảo mật.
Hậu quả của việc chiếm quyền điều khiển
Khi kẻ tấn công đạt được quyền NT AUTHORITY\SYSTEM, chúng có thể thực hiện nhiều hành động độc hại. Những hành động này bao gồm:
- Cài đặt backdoor hoặc phần mềm độc hại dai dẳng.
- Vô hiệu hóa hoặc cấu hình lại các sản phẩm bảo mật như phần mềm diệt virus và tường lửa.
- Truy cập và đánh cắp dữ liệu nhạy cảm của người dùng hoặc hệ thống.
- Thay đổi cấu hình hệ thống cốt lõi, có thể gây ra sự cố hoặc mất ổn định.
- Sử dụng hệ thống bị xâm nhập làm bàn đạp cho các cuộc tấn công tiếp theo trong mạng (lateral movement).
Mã khai thác PoC công khai
Phát hành mã khai thác PoC
Nhà nghiên cứu bảo mật với bí danh G4sp4rCS đã công bố một kho lưu trữ GitHub chuyên dụng chứa mã khai thác PoC hoạt động cho CVE-2026-42980. Sự phát hành này làm giảm đáng kể rào cản kỹ thuật cho việc vũ khí hóa lỗ hổng, gia tăng rủi ro bảo mật cho các hệ thống chưa được vá.
Kho lưu trữ này có thể được truy cập tại: https://github.com/G4sp4rCS/CVE-2026-42980-POC
Chi tiết kỹ thuật của PoC
Cây mã nguồn của PoC bao gồm mã C được thiết kế để nhắm mục tiêu vào đường dẫn kernel liên quan đến WMI dễ bị tổn thương. Ngoài ra, nó đi kèm với các tệp trợ giúp và công cụ xây dựng (Makefile và script PowerShell) để biên dịch tệp nhị phân trên Windows bằng công cụ MSVC.
Cấu trúc mã nguồn thường bao gồm các thành phần sau:
├── Makefile
├── PowerShell_Script.ps1
├── SourceCode.c
├── Helpers.h
└── ... (các tệp hỗ trợ khác)Quy trình biên dịch thường sử dụng MSVC (Microsoft Visual C++) toolchains. Ví dụ, một lệnh biên dịch đơn giản có thể trông như sau:
cl.exe SourceCode.c /link Kernel32.lib User32.libMã khai thác được thiết kế để thực thi cục bộ. Nó tận dụng lỗi tràn số nguyên dưới để thao túng các cấu trúc dữ liệu kernel hoặc điều khiển luồng thực thi, dẫn đến việc chiếm quyền điều khiển ở mức SYSTEM.
Mục đích sử dụng của PoC
Theo tài liệu công bố, mã khai thác này chỉ được dùng cho các bản dựng phòng thí nghiệm dễ bị tấn công. Nó được gắn nhãn rõ ràng cho mục đích giáo dục, nghiên cứu phòng thủ và kiểm thử được ủy quyền.
Điều quan trọng là mã này chỉ nên được chạy trong các môi trường biệt lập để tránh gây ra các sự cố ngoài ý muốn hoặc bị lạm dụng. Việc chạy PoC trên hệ thống sản xuất không được cấp phép là không được khuyến nghị và có thể gây ra hậu quả nghiêm trọng.
Mức độ nghiêm trọng và Nguy cơ
Lỗ hổng này được đánh giá là mức độ nghiêm trọng cao. Lý do là nó chỉ yêu cầu quyền truy cập cục bộ với đặc quyền thấp và không cần tương tác của người dùng. Một khi khai thác thành công, nó dẫn đến việc toàn bộ hệ thống bị xâm nhập.
Với sự phát hành mã khai thác công khai, rào cản cho việc vũ khí hóa lỗ hổng đã giảm đáng kể. Điều này tạo điều kiện thuận lợi hơn cho các tác nhân đe dọa kết hợp kỹ thuật này vào các kịch bản tấn công sau xâm nhập.
Kịch bản lạm dụng phổ biến
Các kịch bản lạm dụng phổ biến bao gồm việc triển khai PoC hoặc một phiên bản đã sửa đổi sau khi đã giành được quyền truy cập ban đầu. Quyền truy cập ban đầu có thể có được thông qua các phương tiện khác như tấn công lừa đảo (phishing), khai thác trình duyệt hoặc các loại phần mềm độc hại khác.
Sau khi có được quyền truy cập ban đầu, việc sử dụng lỗ hổng CVE-2026-42980 cho phép kẻ tấn công thoát khỏi các ngữ cảnh người dùng bị hạn chế và vô hiệu hóa các điều khiển bảo mật ở cấp độ kernel. Đây là một bước quan trọng trong chuỗi tấn công để đạt được sự kiểm soát hoàn toàn và bền vững trên hệ thống mục tiêu.
Việc này thường được sử dụng trong các chiến dịch tấn công mạng phức tạp, nơi kẻ tấn công cần leo thang đặc quyền để thực hiện các hành động tiếp theo như cài đặt ransomware, đánh cắp dữ liệu hoặc thiết lập quyền truy cập dai dẳng.
Biện pháp phòng ngừa và Khắc phục
Cập nhật bản vá bảo mật
Microsoft đã phát hành một bản cập nhật bản vá kernel để khắc phục CVE-2026-42980 như một phần của chu trình phát hành bảo mật định kỳ. Quản trị viên được khuyến nghị mạnh mẽ áp dụng các bản vá tương ứng trên tất cả các hệ thống Windows bị ảnh hưởng mà không chậm trễ.
Để đảm bảo an toàn thông tin, các tổ chức cần xác minh việc triển khai bản vá thông qua các nền tảng quản lý endpoint của họ. Việc này giúp xác nhận rằng các bản vá đã được cài đặt thành công trên toàn bộ môi trường.
Thông tin chi tiết về CVE có thể được tìm thấy tại:
Các biện pháp phòng thủ bổ sung
Ngoài việc cập nhật bản vá, các biện pháp phòng thủ sau đây cũng cần được thực hiện để giảm thiểu rủi ro bảo mật:
- Ưu tiên vá lỗi: Ưu tiên các môi trường máy chủ đa người dùng và máy chủ đầu cuối có rủi ro cao. Đây là những mục tiêu thường xuyên của kẻ tấn công để leo thang đặc quyền.
- Hạn chế quyền đăng nhập cục bộ: Hạn chế quyền đăng nhập cục bộ chỉ cho các tài khoản đáng tin cậy. Điều này làm giảm số lượng người dùng có khả năng kích hoạt lỗ hổng.
- Thực thi danh sách trắng ứng dụng: Áp dụng danh sách trắng ứng dụng (application allow-listing) để chặn việc thực thi các tệp nhị phân không đáng tin cậy. Điều này ngăn chặn kẻ tấn công chạy mã khai thác PoC.
- Giám sát leo thang đặc quyền: Theo dõi chặt chẽ các nỗ lực leo thang đặc quyền đáng ngờ trên các hệ thống. Việc sử dụng các hệ thống phát hiện xâm nhập (IDS) và hệ thống quản lý sự kiện và thông tin bảo mật (SIEM) là rất quan trọng.
- Kiểm tra PoC trong môi trường kiểm soát: Nếu cần kiểm thử mã PoC, hãy đảm bảo rằng việc này chỉ được thực hiện trong các thiết lập phòng thí nghiệm được kiểm soát chặt chẽ, biệt lập khỏi mạng sản xuất.
Việc áp dụng kết hợp các biện pháp này sẽ tăng cường khả năng phòng thủ của tổ chức trước các mối đe dọa như lỗ hổng CVE-2026-42980 và các cuộc tấn công mạng tương tự.
