Lỗi Windows cho phép tin tặc bỏ qua màn hình khóa chỉ trong 10 giây

Lỗ hổng được báo cáo mang số hiệu CVE-2019-9510 có thể cho phép kẻ tấn công phía máy khách (client) bỏ qua màn hình khóa trên các phiên remote desktop (RD).

Joe Tammariello thuộc Viện Kỹ thuật phần mềm Đại học Carnegie Mellon (SEI) đã khám phá ra lỗ hổng tồn tại khi tính năng Microsoft Windows Remote Desktop yêu cầu các máy khách xác thực với Network Level Authentication (NLA), một tính năng mà Microsoft gần đây đã đề xuất như một giải pháp chống lại lỗ hổng nghiêm trọng BlueKeep RDP.

Lỗi Windows cho phép tin tặc bỏ qua màn hình khóa chỉ trong 10 giây

Will Dormann, nhà phân tích lỗ hổng tại CERT / CC cho biết, nếu sự bất thường của mạng kích hoạt ngắt kết nối RDP tạm thời trong khi thiết bị khách đã được kết nối với máy chủ nhưng màn hình đăng nhập bị khóa thì sau đó khi kết nối lại, phiên RDP sẽ được khôi phục trạng thái mở khóa, bất kể hệ thống từ xa còn lại như thế nào.

Các hệ thống xác thực hai yếu tố tích hợp với màn hình đăng nhập Windows, như Duo Security MFA cũng bị bỏ qua khi sử dụng cơ chế này. Điều tương tự cũng sẽ xảy ra đối với các banner đăng nhập do 1 tổ chức thực thi.

CERT mô tả kịch bản tấn công như sau:

- Người dùng được nhắm mục tiêu kết nối với hệ thống Windows 10 hoặc Server 2019 thông qua RDS.

- Người dùng khóa phiên từ xa và để thiết bị khách không được giám sát.

- Tại thời điểm này, kẻ tấn công có quyền truy cập vào thiết bị khách có thể làm gián đoạn kết nối mạng của nó và có quyền truy cập vào hệ thống từ xa mà không cần bất kỳ thông tin xác thực nào.

Điều này có nghĩa là việc khai thác lỗ hổng này là rất nhanh và đơn giản, chỉ khoảng 10 giây, kẻ tấn công chỉ cần làm gián đoạn kết nối mạng của một hệ thống được nhắm mục tiêu.

Tammariello đã thông báo cho Microsoft về lỗ hổng này, nhưng công ty đã phản hồi bằng cách nói rằng "hành vi không đáp ứng tiêu chí phục vụ bảo mật của Microsoft cho Windows", điều đó có nghĩa là gã khổng lồ công nghệ không có kế hoạch khắc phục sự cố sớm.

Tuy nhiên, người dùng có thể tự bảo vệ mình trước khả năng khai thác lỗ hổng này bằng cách khóa hệ thống cục bộ thay vì hệ thống từ xa và ngắt kết nối các phiên máy tính từ xa thay vì chỉ khóa chúng.