Trung tam Ung cuu khan cap May tinh Viet Nam

CBND11-004

Điểm yếu trong ứng dụng Remote Desktop Client cho phép thực thi mã lệnh.

Tổng quan

Điểm yếu này được đánh giá là “nghiêm trọng”, tồn tại trong ứng dụng Window Remote Desktop Client của các hệ điều hành Window. Nếu khai thác thành công, điểm yếu này cho phép kẻ tấn công thực thi các mã lệnh và chiếm quyền điều khiển toàn bộ hệ thống

I. Mô tả

    Lỗ hổng này tổn tại trong cách thức mà các ứng dụng của Window nạp các tập tin thư viện DLL ứng dụng được thực thi. Thông thường khi một ứng dụng yêu cầu 1 tập tin DLL, thì nó sẽ thực hiện việc tìm kiếm trong toàn bộ hệ thống. Và thứ tự tìm kiếm các tập tin DLL là:
a. Nếu khóa registry HKLM\System\CurrentControlSet\Control\Session Manager\SafeDllSearchMode được bật (thiết lập giá trị 1)
    1. Thư mục mà ứng dụng được thực thi
    2. Thư mục hệ thống
    3. Thư mục hệ thống 16-bit
    4. Thư mục Windows
    5. Thư mục hiện hành
    6. Các thư mục liệt kê trong biết PATH của hệ điều hành.
b. Nếu khóa registry HKLM\System\CurrentControlSet\Control\Session Manager\SafeDllSearchMode không được bật (thiết lập giá trị 0)
    1. Thư mục mà ứng dụng được thực thi
    2. Thư mục hiện hành
    3. Thư mục hệ thống
    4. Thư mục hệ thống 16 bit
    5. Thư mục Windows
    6. Các thư mục liệt kê trong biết PATH của hệ điều hành.
   Dựa vào đặc điểm này mà kẻ tấn công có thể tạo ra file DLL độc và đặt vào vị trí mà ứng dụng được thực thi. Khi ứng dụng được thực thi, tập tin DLL độc sẽ được nào hệ thống.
    Đã có nhiều khai thác thành công trong các ứng dụng của Window .
   Trong trường hợp của ứng dụng Remote Desktop Client. Khai thác thành công khi người dùng thực thi một tập tin cấu hình (*.rpd) của Remote Desktop Client trong thư mục chứa tập tin DLL độc của kẻ tấn công (thường là các thư mục chia sẻ WebDAV hoặc SMB).

Hình 1. Các tập tin DLL mà ứng dụng Remote Desktop Client yêu cầu nạp
Khi tập tin DLL độc đã được nạp bởi ứng dụng, nó cho phép kẻ tấn công thực thi các mã lệnh và chiếm quyền điều khiển toàn bộ hệ thống.

II. Giải pháp

Cập nhật các bản vá tương ứng cho các hệ thống bị ảnh hưởng.

III. Tham khảo

     • CVE-2011-0029
     • Microsoft: MS11-017
     • Microsoft MSDN

Other Information

Ngày thông báo	25/04/2011
Ngày cập nhật sau cùng	25/04/2011
VNCERT-ID	CBND 11-004
Mức độ nguy hiểm	cao

Mọi thắc mắc hay ý kiến đóng góp xin liên hệ địa chỉ email chính thức của VNCERT (office[at]vncert[.]vn)