Một lỗ hổng CVE nghiêm trọng đã được phát hiện trong Foxit PDF Reader, cho phép leo thang đặc quyền cục bộ (Local Privilege Escalation – LPE). Lỗ hổng này, khi bị khai thác thành công, có thể cấp quyền kiểm soát cấp hệ thống (SYSTEM-level control) đầy đủ cho người dùng Windows tiêu chuẩn dưới những điều kiện tấn công cụ thể.
Sự cố này, được theo dõi với mã định danh CVE-2026-57239, đã được công bố sau một nghiên cứu chuyên sâu về kiến trúc trình cập nhật (updater) và dịch vụ của Foxit. Nó thể hiện một con đường hậu khai thác (post-exploitation) có tác động đáng kể, mặc dù điều kiện tiên quyết là phải có khả năng thực thi mã ban đầu trên hệ thống mục tiêu.
Điều này có nghĩa là kẻ tấn công cần phải có một chỗ đứng ban đầu, ví dụ thông qua một lỗ hổng khác hoặc một kỹ thuật lừa đảo, trước khi có thể tận dụng lỗ hổng CVE-2026-57239 để nâng cao đặc quyền.
Phân tích kỹ thuật Lỗ hổng Leo thang Đặc quyền (CVE-2026-57239)
Nguyên nhân chính của lỗ hổng CVE-2026-57239 nằm ở sự tương tác không an toàn giữa thành phần cập nhật của Foxit và một dịch vụ Windows có đặc quyền cao, chạy dưới tài khoản hệ thống NT AUTHORITY\SYSTEM. Tài khoản này sở hữu quyền lực tối cao trên hầu hết các hệ thống Windows, cho phép kiểm soát gần như hoàn toàn.
Trong quá trình phân tích kỹ thuật, các nhà nghiên cứu đã quan sát thấy rằng tệp thực thi trình cập nhật của Foxit, nằm trong thư mục AppData của người dùng, thực hiện nhiều nỗ lực tải thư viện động (DLL) khác nhau. Các thư mục AppData thường thuộc quyền kiểm soát của người dùng, làm tăng rủi ro khi các tiến trình đặc quyền tương tác với chúng.
Kỹ thuật DLL Sideloading và Cơ chế Vượt qua Bảo vệ
Trong số các nỗ lực tải thư viện này, có các tham chiếu đến các mô-đun kiểu trình điều khiển như winspool.drv. Điểm mấu chốt là, không giống như các biện pháp bảo vệ chống sideloading DLL truyền thống mà Foxit đã triển khai ở những nơi khác trong ứng dụng, tệp trình điều khiển winspool.drv này đã không được xác thực đúng cách trước khi tải.
Sự thiếu sót trong xác thực này cho phép kẻ tấn công đặt một tệp thư viện (DLL) hoặc trình điều khiển độc hại (proxy file) có tên winspool.drv vào một đường dẫn tìm kiếm thư viện mà trình cập nhật sẽ kiểm tra trước khi tải tệp hợp pháp. Khi trình cập nhật khởi chạy và tìm kiếm winspool.drv, nó sẽ tải tệp độc hại của kẻ tấn công thay vì tệp hệ thống gốc, từ đó đạt được thực thi mã trong ngữ cảnh của trình cập nhật.
Mặc dù việc sideloading ban đầu cấp quyền thực thi mã ở cấp độ người dùng, việc leo thang đặc quyền lên cấp SYSTEM yêu cầu một chuỗi các hành động. Điều này liên quan đến việc kết hợp hành vi sideloading với tiến trình dịch vụ FoxitPDFReaderUpdateService.exe. Dịch vụ này chạy với đặc quyền SYSTEM và có vai trò quan trọng trong việc duy trì và cập nhật phần mềm.
Khai thác thông qua Tệp FoxitData.txt
Dịch vụ FoxitPDFReaderUpdateService.exe liên tục giám sát một số tệp cụ thể, trong đó có tệp FoxitData.txt. Tệp này được đặt trong thư mục ProgramData, một vị trí mà người dùng có đặc quyền thấp có thể ghi và sửa đổi dữ liệu. Điều này tạo ra một điểm yếu tiềm tàng cho việc thao túng dữ liệu.
Bằng cách thao tác với nội dung của tệp FoxitData.txt, các nhà nghiên cứu đã khám phá ra khả năng ảnh hưởng đến dịch vụ để kích hoạt việc khởi chạy tệp thực thi trình cập nhật. Điều quan trọng là, dịch vụ này sẽ khởi chạy trình cập nhật với chính đặc quyền SYSTEM của nó, thay vì đặc quyền của người dùng hiện tại.
Quá trình dịch ngược (reverse engineering) sâu hơn đã tiết lộ rằng dịch vụ mong đợi các hướng dẫn được mã hóa bên trong FoxitData.txt. Các hướng dẫn này không phải là văn bản thuần túy mà được bảo vệ bằng cơ chế mã hóa AES-128-CBC. Khóa mã hóa được phát hiện là một khóa cứng (hardcoded key) được nhúng trực tiếp trong tệp nhị phân của dịch vụ.
Khi các nhà nghiên cứu đã giải mã và hiểu rõ lược đồ mã hóa cũng như định dạng mã hóa dữ liệu, việc tạo ra các payload hợp lệ đã trở nên khả thi. Những payload được chế tạo đặc biệt này có thể được ghi vào FoxitData.txt, sau đó kích hoạt việc thực thi tiến trình cập nhật dưới các đặc quyền nâng cao của NT AUTHORITY\SYSTEM.
Mặc dù Foxit đã tích hợp các biện pháp bảo vệ như xác thực chứng chỉ số cho các tệp thực thi để đảm bảo tính toàn vẹn, kẻ tấn công vẫn có thể vượt qua những hạn chế này. Điều này được thực hiện bằng cách kết hợp luồng thực thi đặc quyền thông qua dịch vụ với các kỹ thuật sideloading đã đề cập trước đó. Kỹ thuật này đã tạo ra một lỗ hổng CVE nguy hiểm.
Kịch bản Khai thác Thực tế và Con đường Thay thế
Trong một chuỗi khai thác hoàn chỉnh, một tệp trình điều khiển độc hại (ví dụ: một DLL được thiết kế để thực thi mã) được đặt cùng với tệp thực thi trình cập nhật. Khi dịch vụ đặc quyền khởi chạy trình cập nhật, tệp trình điều khiển độc hại này sẽ được tải và thực thi, từ đó cấp quyền thực thi mã cấp SYSTEM đầy đủ cho kẻ tấn công.
Đáng chú ý là, mặc dù Foxit đã nỗ lực giảm thiểu các vector sideloading trước đây, nhà nghiên cứu Luke Paris đã phát hiện ra một con đường khai thác thay thế. Con đường này liên quan đến tương tác giao diện người dùng (GUI) của trình cập nhật. Bằng cách buộc trình cập nhật hiển thị một lời nhắc GUI và kích hoạt các hành động cụ thể, ứng dụng đã cố gắng tải lại các mô-đun bên ngoài.
Kỹ thuật này cho phép khai thác thành công ngay cả sau khi các bản vá lỗi ban đầu được áp dụng. Điều này cho thấy sự phức tạp và tinh vi trong việc tìm kiếm các lỗ hổng bảo mật. Thông tin chi tiết về lỗ hổng CVE-2026-57239 và phân loại mức độ nghiêm trọng của nó có thể được tìm thấy tại cơ sở dữ liệu NVD NIST.
Hậu quả và Tác động của việc Chiếm quyền điều khiển Hệ thống
Việc khai thác thành công lỗ hổng CVE-2026-57239 mang lại cho kẻ tấn công quyền kiểm soát hoàn toàn hệ thống bị ảnh hưởng. Với quyền truy cập cấp SYSTEM, kẻ tấn công có khả năng thực hiện mọi hành động trên hệ thống mà không gặp bất kỳ giới hạn nào. Đây là một kịch bản chiếm quyền điều khiển hoàn toàn và nghiêm trọng.
Các hậu quả bao gồm khả năng thực thi các lệnh tùy ý (arbitrary commands), cài đặt và chạy bất kỳ phần mềm độc hại nào, thao túng hoặc vô hiệu hóa các kiểm soát bảo mật (như tường lửa hoặc phần mềm diệt virus), và duy trì sự bền bỉ (persistence) trên hệ thống. Sự bền bỉ cho phép kẻ tấn công tiếp tục truy cập vào hệ thống ngay cả sau khi hệ thống được khởi động lại.
Do bản chất của lỗ hổng đòi hỏi quyền truy cập cục bộ ban đầu hoặc một chỗ đứng hiện có trên hệ thống, nó đặc biệt có ý nghĩa trong các cuộc tấn công có mục tiêu. Các kịch bản phổ biến bao gồm sau khi một hệ thống đã bị xâm nhập thông qua một vector khác, hoặc trong các chuỗi khai thác phức tạp nơi LPE là bước cuối cùng để đạt được quyền kiểm soát tối cao.
Chỉ dẫn Phát hiện và Chiến lược Giảm thiểu Nguy cơ
Các tổ chức có thể chủ động phát hiện khả năng khai thác lỗ hổng CVE-2026-57239 bằng cách triển khai các chiến lược giám sát mạnh mẽ. Một trong những chỉ dấu quan trọng là việc theo dõi các sửa đổi trái phép đối với tệp FoxitData.txt trong thư mục ProgramData.
Ngoài ra, việc giám sát các thực thi tiến trình bất thường có nguồn gốc từ các thư mục Foxit trong AppData của người dùng cũng là một biện pháp quan trọng. Các tiến trình này thường không nên thực thi với đặc quyền cao hoặc từ các vị trí không tiêu chuẩn.
Chỉ số thỏa hiệp (Indicators of Compromise – IOCs) tiềm năng cho lỗ hổng CVE này
- Sự hiện diện của các tệp
.dllhoặc.drvkhông mong muốn hoặc có dấu hiệu bất thường về mã hóa/chữ ký trong các đường dẫn Foxit do người dùng kiểm soát (ví dụ: trong thư mụcAppData\Local\Foxit Software\Foxit Reader\Updater\). - Các sự kiện tạo tiến trình cấp SYSTEM bất thường, đặc biệt là khi chúng có nguồn gốc từ các tiến trình của Foxit Reader hoặc Updater.
- Các sửa đổi không được phép đối với tệp
FoxitData.txt, đặc biệt là các nội dung được mã hóa không phải do Foxit tạo ra. - Các hoạt động liên quan đến việc tải mô-đun hoặc thư viện từ các đường dẫn không đáng tin cậy.
Các đội ngũ bảo mật nên thường xuyên kiểm tra nhật ký sự kiện Windows (Windows Event Logs) để tìm kiếm các hoạt động đáng ngờ. Cụ thể, cần chú ý đến các hoạt động thao túng token bảo mật và các lần khởi chạy tiến trình bất thường do dịch vụ điều khiển. Các sự kiện này có thể chỉ ra việc khai thác thành công lỗ hổng CVE này và việc kẻ tấn công đang cố gắng leo thang đặc quyền.
Biện pháp Khắc phục và Cập nhật bản vá An ninh Mạng
Foxit đã chính thức khắc phục sự cố này trong phiên bản 2026.2. Do đó, người dùng và các tổ chức được khuyến cáo mạnh mẽ nên thực hiện cập nhật bản vá ngay lập tức lên phiên bản mới nhất để loại bỏ lỗ hổng CVE-2026-57239. Việc trì hoãn cập nhật có thể khiến hệ thống tiếp tục dễ bị tổn thương và đối mặt với nguy cơ bị chiếm quyền điều khiển.
Các chiến lược giảm thiểu bổ sung để tăng cường an ninh mạng bao gồm việc thực thi các chính sách kiểm soát ứng dụng (application control policies) như AppLocker hoặc các giải pháp tương tự. Mục tiêu là để hạn chế việc tải mô-đun hoặc tệp thực thi trái phép từ các vị trí không tin cậy. Điều này tạo ra một lớp phòng thủ bổ sung, ngăn chặn các kỹ thuật sideloading.
Ngoài ra, việc giám sát hoạt động hệ thống tệp trong các thư mục có thể ghi được, đặc biệt là những thư mục được sử dụng bởi các dịch vụ đặc quyền, cũng rất quan trọng. Việc này giúp phát hiện và ngăn chặn các thao tác độc hại lên các tệp cấu hình hoặc dữ liệu nhạy cảm.
Lỗ hổng CVE-2026-57239 này là một minh chứng rõ ràng về các rủi ro đáng kể liên quan đến việc xác thực không đúng cách trong các cơ chế giao tiếp giữa các tiến trình (inter-process communication) và quá trình tải thư viện động. Nó củng cố sự cần thiết phải thực thi các ranh giới bảo mật nghiêm ngặt giữa các đầu vào do người dùng kiểm soát và các dịch vụ cấp SYSTEM. Việc hiểu rõ và áp dụng các biện pháp an toàn thông tin chặt chẽ là điều tối quan trọng để bảo vệ hệ thống khỏi các cuộc tấn công có thể dẫn đến việc chiếm quyền điều khiển hoàn toàn.
