Phân tích kỹ thuật lỗ hổng leo thang đặc quyền CVE-2023-21768 trong Windows WinSock

• Mối đe dọa: Lỗ hổng leo thang đặc quyền cục bộ (LPE) trong driver Windows Ancillary Function Driver (afd.sys).
• Tác động: Kẻ tấn công có quyền truy cập cục bộ mức thấp có thể chiếm quyền điều khiển hệ thống (SYSTEM privileges).
• Trạng thái: Lỗ hổng đã được Microsoft vá vào tháng 01/2023, tuy nhiên mã khai thác PoC công khai hiện đã xuất hiện.
• Khuyến nghị: Quản trị viên cần đảm bảo các bản vá bảo mật mới nhất đã được áp dụng trên toàn bộ hạ tầng Windows.

Một mã khai thác (Proof-of-Concept - PoC) công khai cho lỗ hổng CVE-2023-21768 đã được phát hành, phơi bày cơ chế mà kẻ tấn công có quyền truy cập cục bộ có thể leo thang đặc quyền lên mức SYSTEM thông qua driver Windows Ancillary Function Driver (WinSock). Mặc dù đây không phải là một lỗ hổng mới, nhưng việc công bố mã khai thác chi tiết đặt ra yêu cầu cấp bách cho các đội ngũ vận hành hệ thống trong việc kiểm tra trạng thái cập nhật bản vá.

Phân tích kỹ thuật lỗ hổng CVE-2023-21768

Lỗ hổng này nằm trong afd.sys, một driver nhân (kernel driver) quan trọng của Windows chịu trách nhiệm xử lý các yêu cầu từ giao diện mạng WinSock. Theo phân tích từ các nhà nghiên cứu Valentina Palmiotti (chompie) và Ruben Boonen, lỗ hổng xuất phát từ việc thiếu kiểm tra tính hợp lệ của con trỏ bộ nhớ (memory pointer) được cung cấp từ ứng dụng người dùng.

Khi so sánh các phiên bản driver từ tháng 12/2022 và tháng 01/2023, các nhà nghiên cứu đã xác định hàm AfdNotifyRemoveIoCompletion là điểm mấu chốt có sự thay đổi. Trong phiên bản cũ, driver không thực hiện kiểm tra đầy đủ các con trỏ từ user-mode, cho phép kẻ tấn công thực hiện ghi đè vào bộ nhớ nhân (kernel memory), nơi lưu trữ các dữ liệu hệ thống nhạy cảm.

Cơ chế khai thác và chuỗi tấn công

Mã khai thác được công bố nhắm mục tiêu vào các hệ thống Windows 11 22H2. Kỹ thuật này tận dụng khả năng ghi bộ nhớ hạn chế để thay đổi các đối tượng I/O ring của Windows. Bằng cách thao tác trên các đối tượng này, kẻ tấn công có thể đạt được khả năng đọc/ghi bộ nhớ nhân, từ đó thay thế token bảo mật của một tiến trình mục tiêu bằng token có đặc quyền SYSTEM.

Đáng chú ý, các nhà nghiên cứu khẳng định rằng kỹ thuật này hoạt động ngay cả khi tính năng HVCI (Hypervisor-Protected Code Integrity) được kích hoạt, nhấn mạnh rằng các biện pháp bảo vệ dựa trên ảo hóa không thể thay thế hoàn toàn cho việc cập nhật bản vá định kỳ.

Các lỗ hổng liên quan trong hệ sinh thái WinSock

Driver afd.sys thường xuyên trở thành mục tiêu của các nhà nghiên cứu bảo mật do tính chất phức tạp và đặc quyền cao của nó. Ngoài CVE-2023-21768, các lỗ hổng khác như CVE-2024-38193 và lỗ hổng zero-day CVE-2025-32709 cũng liên quan đến cùng một driver này, mặc dù chúng có nguyên nhân gốc rễ và cơ chế khai thác khác biệt.

⚠️ Cảnh báo quan trọng: Việc tồn tại mã khai thác công khai làm tăng nguy cơ bị các tác nhân đe dọa khai thác trên các hệ thống chưa được vá. Quản trị viên cần rà soát các bản cập nhật KB liên quan đến driver afd.sys và đảm bảo hệ thống đã được cập nhật lên phiên bản mới nhất từ Microsoft.

Các tổ chức nên sử dụng các công cụ quản lý bản vá để kiểm tra sự tuân thủ của các thiết bị trong mạng nội bộ. Việc phát hiện các hành vi bất thường liên quan đến tiến trình hệ thống hoặc các nỗ lực truy cập trái phép vào bộ nhớ nhân thông qua các công cụ EDR (Endpoint Detection and Response) là vô cùng cần thiết để ngăn chặn các cuộc tấn công leo thang đặc quyền.

Để biết thêm thông tin chi tiết về các lỗ hổng và cách thức phòng thủ, quản trị viên có thể tham khảo tài liệu từ National Vulnerability Database (NVD) hoặc các thông báo bảo mật chính thức từ Microsoft Security Advisory.