Bài viết thảo luận về một lỗ hổng nghiêm trọng trong phần mềm Plantronics Hub, một ứng dụng khách được sử dụng để cấu hình các thiết bị âm thanh Plantronics. Lỗ hổng này, được phân loại là lỗ hổng đường dẫn tìm kiếm không có dấu ngoặc kép (CWE-428), cho phép kẻ tấn công thực hiện các tập tin tùy ý và nâng cao quyền hạn tới mức quản trị viên trong một số điều kiện nhất định.
Chi tiết kỹ thuật về lỗ hổng
- Phiên bản dễ bị tấn công: Lỗ hổng ảnh hưởng đến các phiên bản Plantronics Hub 3.24.5 và 3.25.2, cả hai đều không còn được nhà cung cấp hỗ trợ.
- Vấn đề với đường dẫn Registry: Quá trình cài đặt không bao gồm đường dẫn của tệp thực thi `PLTHub.exe` trong dấu ngoặc kép. Sự bỏ sót này cho phép Windows hiểu sai đường dẫn và thực hiện các tập tin không mong muốn nếu chúng nằm trong thư mục gốc (ví dụ: `C:\\Program.exe`).
- Tiến hành tấn công: Việc khai thác lỗ hổng này yêu cầu người dùng có quyền ghi vào thư mục `C:\\`, một cấu hình không hiếm gặp trong một số môi trường doanh nghiệp. Bằng cách đặt các tệp cụ thể (`Program.exe`, `aka.exe`, và `ape.exe.lnk`) trong thư mục gốc, kẻ tấn công có thể bỏ qua cơ chế Kiểm soát Tài khoản Người dùng (UAC) và thực thi lệnh với quyền quản trị.
Khai thác và Tác động
- Chuỗi tấn công: Chuỗi tấn công bắt đầu khi OpenScape Fusion cố gắng khởi động `PLTHub.exe` trong quá trình khởi động. Do đường dẫn không có dấu ngoặc kép, Windows ưu tiên thực hiện `C:\\Program.exe` hơn là thực thi tệp dự kiến nằm sâu hơn trong cấu trúc tệp. Quá trình này cho phép kẻ tấn công khai thác các ngữ cảnh quản trị và xâm phạm tính toàn vẹn hệ thống.
- Thực thi payload độc hại: Một payload độc hại có thể ghi thông tin nhạy cảm của người dùng vào một tệp hoặc thực hiện các lệnh không cho phép nhân danh một quản trị viên. Việc khai thác liên quan đến việc tạo ba tệp trong thư mục `C:\\`, cuối cùng dẫn đến việc thực thi một lối tắt payload (`ape.exe.lnk`) với quyền quản trị.
Giảm thiểu và Khuyến nghị
- Đặt đường dẫn Registry trong dấu ngoặc kép: Thay đổi mục đăng ký dưới `HKEY_CLASSES_ROOT\\WOW6432Node\\CLSID\\{750B4A16-1338-4DB0-85BB-C6C89E4CB9AC}\\LocalServer32` để bao gồm đường dẫn tệp cho `PLTHub.exe` trong dấu ngoặc kép.
- Hạn chế quyền ghi: Đảm bảo rằng chỉ có quản trị viên và tài khoản hệ thống mới có quyền ghi vào thư mục `C:\\`, tuân theo các phương pháp tốt nhất về bảo mật hệ thống tệp.
- Gỡ cài đặt phần mềm cũ: Loại bỏ các phiên bản không được hỗ trợ của Plantronics Hub và OpenScape Fusion khỏi tất cả các hệ thống để loại bỏ nguy cơ từ lỗ hổng này.
Kết luận
Lỗ hổng của Plantronics Hub làm nổi bật một vấn đề thường thấy trong phát triển phần mềm: các đường dẫn tìm kiếm không có dấu ngoặc kép (CWE-428). Lỗ hổng này có thể có hậu quả nghiêm trọng khi bị khai thác trong các môi trường thực tế, nhấn mạnh tầm quan trọng của các cuộc kiểm tra bảo mật thường xuyên và việc gỡ bỏ chủ động các ứng dụng không được hỗ trợ để duy trì sự bảo vệ an ninh mạng mạnh mẽ.
