Một lỗ hổng xác thực nghiêm trọng trong ứng dụng máy tính StrongDM đã được xác định, cho phép kẻ tấn công chiếm quyền phiên làm việc của người dùng bằng cách tái sử dụng dữ liệu xác thực được lưu trữ cục bộ, tiềm ẩn nguy cơ làm lộ cơ sở hạ tầng doanh nghiệp nhạy cảm. Đây là một mối đe dọa bảo mật cần được quan tâm khẩn cấp.
Chi tiết Lỗ hổng StrongDM: CVE-2026-4387
Lỗ hổng này, được theo dõi với mã định danh CVE-2026-4387, được phát hiện bởi SpecterOps trong quá trình đánh giá bảo mật. Vấn đề đã được khắc phục trong phiên bản StrongDM Desktop 23.74.0 và phiên bản CLI 53.77.0.
Cơ chế Lưu trữ Dữ liệu Phiên
Lỗ hổng bắt nguồn từ cách StrongDM lưu trữ dữ liệu phiên làm việc trên đĩa. Sau khi đăng nhập thành công, ứng dụng lưu trữ thông tin xác thực vào một tệp có đường dẫn tại C:\Users<username>.sdm\state.kv.
Tệp này chứa một JSON Web Token (JWT) cùng với một cặp khóa công khai và khóa riêng tư, tất cả đều được lưu trữ dưới dạng văn bản thuần túy (plaintext). Do tệp này chỉ yêu cầu quyền cấp độ người dùng để truy cập, một kẻ tấn công có quyền truy cập hệ thống có thể trích xuất nó mà không cần đặc quyền nâng cao.
Phương thức Khai thác Tấn công
SpecterOps đã chứng minh rằng tệp trạng thái này có thể được tái sử dụng để giả mạo người dùng hợp pháp. Kẻ tấn công có thể sao chép tệp trạng thái KV từ một hệ thống bị xâm nhập sang một máy khác.
Điều này cho phép ứng dụng khách StrongDM tự động xác thực với tư cách là nạn nhân và truy cập tài nguyên cơ sở hạ tầng mà không cần thông tin đăng nhập. Kỹ thuật này hoạt động đáng tin cậy ngay cả trên các máy chủ ngoài luồng bằng cách thay thế tệp sau khi ứng dụng khởi chạy, vượt qua các biện pháp bảo vệ tệp khởi động và làm lộ thêm các điểm yếu trong quy trình xác thực.
Một điểm cuối cục bộ tại http://127.0.0.1:65220/v2/authentication đã tiết lộ các token JWT khi được truy vấn với các header tối thiểu. Các tệp được lưu trong bộ nhớ đệm như data_1 cũng lưu trữ dữ liệu xác thực nhạy cảm.
Việc thiếu cơ chế ràng buộc giữa token phiên và môi trường máy chủ đã cho phép tái sử dụng dữ liệu xác thực trên các hệ thống khác nhau. Đây là một lỗ hổng nghiêm trọng làm tăng nguy cơ bị xâm nhập.
Tác động của Lỗ hổng
Tác động của lỗ hổng này là rất lớn, vì nó cho phép chiếm quyền phiên làm việc hoàn toàn mà không cần thông tin đăng nhập. Kẻ tấn công có thể truy cập cơ sở dữ liệu, máy chủ và tài nguyên đám mây được quản lý thông qua StrongDM, đồng thời có khả năng di chuyển ngang trong môi trường doanh nghiệp.
Việc chỉ yêu cầu quyền cấp độ người dùng làm giảm rào cản cho việc khai thác, đặc biệt là trong các kịch bản sau khi đã xâm nhập hệ thống. Điều này nhấn mạnh tầm quan trọng của việc bảo mật thông tin trong mọi lớp của hạ tầng.
Biện pháp Khắc phục và Phòng ngừa
Giải pháp của StrongDM
StrongDM đã khắc phục vấn đề bằng cách loại bỏ việc lưu trữ dữ liệu xác thực nhạy cảm dưới dạng văn bản thuần túy. Các phiên bản cập nhật hiện sử dụng các cơ chế lưu trữ an toàn gốc của nền tảng như DPAPI trên Windows và Keychain trên macOS.
Thêm vào đó, JWTs không còn được lưu trữ trong tệp state.KV, ngăn chặn việc tái sử dụng trên các hệ thống khác nhau. Việc kiểm tra xác nhận bảo mật đã xác nhận rằng việc chuyển các tệp phiên giữa các máy chủ không còn dẫn đến truy cập được xác thực.
Khuyến nghị Cập nhật Bản vá
Lỗ hổng được báo cáo lần đầu vào tháng 5 năm 2025, với bản sửa lỗi được triển khai vào tháng 3 năm 2026. Theo SpecterOps, CVE-2026-4387 đã được công khai vào ngày 29 tháng 5 năm 2026, theo sau là một tiết lộ rộng rãi hơn vào ngày 1 tháng 6 năm 2026. Người dùng được khuyến cáo mạnh mẽ cập nhật bản vá lên các phiên bản mới nhất để giảm thiểu mọi rủi ro tiềm ẩn.
Bài học Kinh nghiệm
Sự cố này làm nổi bật những nguy hiểm của việc lưu trữ thông tin xác thực cục bộ không an toàn. Nó nhấn mạnh tầm quan trọng của việc bảo vệ token xác thực thông qua lưu trữ an toàn và ràng buộc phiên làm việc đúng cách để ngăn chặn các cuộc tấn công tái sử dụng.
Việc đảm bảo an ninh mạng toàn diện đòi hỏi sự chú ý đến mọi khía cạnh, từ mã hóa, lưu trữ an toàn đến quản lý vòng đời phiên làm việc. Việc áp dụng các tiêu chuẩn bảo mật tốt nhất là chìa khóa để bảo vệ hệ thống khỏi các mối đe dọa ngày càng tinh vi.
Để tìm hiểu thêm về các phân tích lỗ hổng và tin tức bảo mật mới nhất, bạn có thể tham khảo nguồn tin cậy tại NVD.
