Máy tính từ xa có nguy cơ bị hack bởi các lỗ hổng Apache Guacamole nghiêm trọng

Một nghiên cứu mới đây đã phát hiện ra nhiều lỗ hổng reverse RDP nghiêm trọng trong Apache Guacamole – một phần mềm phổ biến được quản trị viên hệ thống sử dụng để truy cập và quản lý các máy Windows và Linux từ xa.



Các lỗ hổng mới bị phát hiện này có nguy cơ cho phép kẻ tấn công chiếm toàn quyền kiểm soát máy chủ Guacamole, chặn và kiểm soát tất cả các phiên (session) được kết nối khác.



“Sau khi xâm nhập thành công vào máy tính của tổ chức, lỗ hổng này sẽ cho phép kẻ tấn công khởi tạo một cuộc tấn công vào Guacamole gateway khi một nhân viên không cảnh giác cố gắng kết nối với máy tính bị nhiễm malware,” theo một báo cáo được Check Point Research công bố và chia sẻ với The Hacker News.



Sau khi Check Point tiết lộ những phát hiện của mình cho Apache (công ty phát triển Guacamole) vào cuối tháng 3 thì đến tháng 6 công ty này đã cho phát hành một bản cập nhật để vá lỗi bảo mật này. 



Apache Guacamole là một giải pháp điều khiển máy tính từ xa không cần máy khách phổ biến (clientless: không yêu cầu plugin hay phần mềm client). Khi được cài đặt trên máy chủ (server) của một công ty, nó sẽ cho phép người dùng kết nối từ xa với máy tính để bàn của họ đơn giản bằng cách truy cập vào một trình duyệt web và qua một khâu xác thực.



Điều đáng chú ý là ứng dụng điều khiển từ xa này đã được tải xuống hơn 10 triệu lượt trên Docker Hub tính đến thời điểm hiện tại.



Lỗi gián đoạn bộ nhớ (memory corruption) dẫn đến RCE



Gateway có thể bị xâm nhập thông qua một trong hai cách sau: thứ nhất, bởi một máy tính bị xâm phạm trong mạng công ty và lợi dụng các kết nối nội bộ để tấn công Apache gateway. Hoặc thứ hai, bởi một nhân viên giả mạo lén lút sử dụng máy tính trong mạng công ty để chiếm quyền điều khiển gateway.



Check Point cho biết họ phát hiện được những lỗ hổng này là nhờ vào một cuộc kiểm tra bảo mật gần đây của Guacamole. Và quy trình kiểm thử này cũng đã góp phần hỗ trợ đánh giá lại bản vá bảo mật FreeRDP 2.0.0 vừa được phát hành vào cuối tháng 1 năm nay.



Đáng chú ý là bản vá 2.0.0-rc4 này được phát hành sau khi FreeRDP (một phần mềm RDP client mã nguồn mở) được phát hiện đang bị ảnh hưởng bởi nhiều lỗi thực thi mã từ xa khác nhau trong một báo cáo vào đầu tháng 2 năm 2019.



“Cần phải hiểu rằng các lỗ hổng trong FreeRDP chỉ mới được vá trên phiên bản 2.0.0-rc4. Và điều này đồng nghĩa với việc tất cả các bản cập nhật phát hành trước tháng 1 năm nay đều là các phiên bản FreeRDP có chứa lỗ hổng bảo mật”, Eyal Itkin chuyên gia bảo mật của Check Point cho biết.



Sau đây là tóm tắt nhanh về tất cả các lỗi bảo mật đã được phát hiện:



Lỗ hổng rò rỉ thông tin (CVE-2020-9497) – Hai lỗ hổng bảo mật đã được phát hiện trong phần triển khai tùy chỉnh (custom implementation) của một RDP channel thường được sử dụng để xử lý các gói âm thanh từ máy chủ (“rdpsnd”). Được biết lỗ hổng đầu tiên cho phép kẻ tấn công tạo ra một tin nhắn “rdpsnd” độc hại có thể dẫn đến lỗi out-of-bounds read (lỗi đọc vùng nhớ ngoại biên) tương tự như Heartbleed . Còn lỗ hổng thứ hai là một lỗi làm rò rỉ dữ liệu out-of-bounds đến một máy khách được kết nối.
Lỗi rò rỉ thông tin thứ ba là một biến thể của hai lỗ hổng đã đề cập ở trên. Nó nằm trong một kênh (channel) khác được gọi là “guacai”, chịu trách nhiệm đầu vào âm thanh và bị tắt theo mặc định (disabled by default).



Lỗi out-of-bounds reads trong FreeRDP – Check Point cho biết trong quá trình  tìm kiếm một lỗ hổng trong bộ nhớ có thể bị lợi dụng để khai thác các dữ liệu bị rò rỉ ở trên, họ đã phát hiện ra thêm hai lỗ hổng out-of-bounds reads khác. Được biết chúng đã lợi dụng một lỗi thiết kế trong FreeRDP để tấn công vào hệ thống.
Lỗ hổng Memory Corruption (gián đoạn bộ nhớ) trong Guacamole (CVE-2020-9498) – Lỗ hổng này xuất hiện trong một lớp abstraction layer (“guac_common_svc.c”) được đặt trên kênh rdpsnd và rdpdr (Device Redirection), bắt nguồn từ một hành vi vi phạm an toàn bộ nhớ, kết quả là tạo ra một dangling pointer cho phép kẻ tấn công thực thi mã bằng cách kết hợp cả hai lỗ hổng ở trên.
Các lỗi use-after-use là các lỗ hổng gián đoạn bộ nhớ thường xảy ra khi một ứng dụng cố gắng sử dụng không gian bộ nhớ không còn được gán cho nó. Điều này thường khiến chương trình bị sập nhưng đôi khi nó cũng có thể dẫn đến các hậu quả ngoài ý muốn khác, chẳng hạn như dẫn đến lỗi thực thi mã và có nguy cơ bị khai thác bởi những kẻ tấn công với ý đồ xấu.



Lợi dụng các lỗ hổng CVE-2020-9497 và CVE-2020-9498, “một máy tính độc hại (máy chủ RDP của công ty) có thể chiếm quyền kiểm soát guacd process khi một người dùng từ xa yêu cầu kết nối với máy tính bị nhiễm độc của chính họ,” Itkin nói.



Lỗi leo thang đặc quyền



Đáng lo ngại hơn, Check Point nhận thấy các lỗi này còn có thể cho phép kẻ tấn công chiếm quyền kiểm soát tất cả các kết nối trong gateway chỉ từ một quy trình guacd duy nhất. Quy trình này chạy trên máy chủ Guacamole và có chức năng xử lý các kết nối từ xa đến mạng công ty.



Ngoài việc kiểm soát gateway, lỗi leo thang đặc quyền này còn cho phép kẻ tấn công nghe lén tất cả các phiên đến, ghi lại các thông tin đăng nhập đã được sử dụng trước đó, và thậm chí tự động bắt đầu các phiên mới để kiểm soát các máy tính còn lại của tổ chức.



“Mặc dù việc làm việc từ xa là điều cần thiết trong thời điểm khó khăn như hiện nay khi mọi người đều bị ảnh hưởng bởi đại dịch COVID-19, nhưng chúng ta cũng không thể “ngó lơ” những lỗi bảo mật nghiêm trọng như vậy. Khi hầu hết các tổ chức đều làm việc từ xa, kẻ tấn công sẽ lấy nó làm điểm tựa để giành quyền kiểm soát toàn bộ mạng lưới tổ chức,” Itkin kết luận.



“Chúng tôi khuyến nghị mọi người nên đảm bảo tất cả các máy chủ đều được cập nhật phiên bản mới nhất và bất cứ công nghệ nào được sử dụng để làm việc tại nhà cũng đều nên được bảo mật tốt nhất để ngăn chặn các cuộc tấn công như vậy có thể xảy ra.”



Theo The Hacker News
The post Máy tính từ xa có nguy cơ bị hack bởi các lỗ hổng Apache Guacamole nghiêm trọng appeared first on SecurityDaily .