Microsoft vừa đưa ra bản vá lỗi cho lỗ hổng Meltdown đang “làm mưa làm gió” trong thời gian qua. Nhưng dường như bản cập nhật này lại làm cho mọi thứ trên Windows 7 trở nên tồi tệ hơn bao giờ hết.
Spectre và Meltdown là những lỗ hổng bảo mật nghiêm trọng được tiết lộ bởi các chuyên gia từ hồi đầu năm nay. Nó xuất hiện trong hầu hết các bộ vi xử lý của Intel, AMD và ARM khiến thông tin dữ liệu máy tính, máy chủ và điện thoại di động có thể bị tin tặc tấn công dễ dàng.
Ngay sau khi tin dữ được công bố, các nhà cung cấp phần mềm, bao gồm Microsoft đã bắt đầu cho phát hành bản vá lỗi hệ thống để tăng cường bảo mật cho bộ vi xử lý.
Tuy nhiên mới gần đây, một nhà nghiên cứu an ninh độc lập từ Thụy Điển, Ulf Frisk đã phát hiện ra rằng các bản sửa lỗi bảo mật của Microsoft cho Windows 7 có thể cho phép kẻ tấn công đọc bộ nhớ với tốc độ 120 KBps. Điều này khiến cho các tổn thất trên máy tính Windows 7 và Server 2008 R2 có thể tồi tệ hơn.
Frisk là nhà nghiên cứu đã phát hiện ra cách đánh cắp mật khẩu từ máy tính Mac bất kỳ nào trong 30 giây bằng cách khai thác lỗ hổng trong hệ thống mã hóa FileVault của Apple. Điều đó cho kẻ tấn công mở khóa bất kỳ hệ thống Mac nào và thậm chí giải mã các tệp tin lưu trên ổ cứng.
Phát hiện này trở thành mối quan tâm lớn nhất hiện nay xung quanh về bản vá lỗi Meltdown và Spectre. Theo Frisk, vấn đề này xảy ra do cách vá lỗi Meltdown của Microsoft vô tình gặp sự cố phân quyền “supervisor-only” và “any-user” khi truy cập vào bộ chuyển đổi “virtual-to-physical-memory” với tên gọi PLM4.
Những thiết lập bit thông thường sẽ giúp truy cập vào phần này của bộ vi xử lý.
Để chứng minh điều này, Frisk cũng cung cấp các phân tích chi tiết để thực hiện lý thuyết đã đưa ra. Vấn đề này chỉ ảnh hưởng đến các phiên bản Windows 7 64-bit và Windows Server 2008 R2 vì chúng đòi hỏi kẻ tấn công phải truy cập vật lý vào hệ thống mục tiêu.
Buggy Patch cho phép đọc lượng lớn Gigabyte dữ liệu chỉ trong một giây.
Cũng vì bảng điều khiển PML4 được đặt tại bộ nhớ cố định trong Windows 7, nên kẻ tấn công không cần tốn nhiều công sức để khai thác lỗ hổng Meltdown.
Frisk nói: “Windows 7 đã làm việc hết sức mình trong việc lập bản đồ bộ nhớ yêu cầu cho từng quá trình khởi chạy. Việc khai thác dữ liệu ở đây chỉ là hành động đọc và ghi lại theo định hướng có sẵn trên bộ nhớ ảo. Không yêu cầu các API hoặc syscalls ưa thích, chỉ cần đọc và ghi chuẩn!”.
Frisk cho biết khi nhận được quyền truy cập đọc ghi vào bảng điều khiển, kẻ tấn công có thể dễ dàng truy cập hoàn toàn vào bộ nhớ thiết bị, trừ khi nó được bổ sung lớp bảo vệ mã hóa cho bảng mở rộng trang (Page Table Entries – PTEs). Điều mà kẻ tấn công phải làm chỉ là chép đè bản ghi của chúng vào bảng điều khiển để truy cập bộ nhớ thiết bị.
Frisk cho biết lỗ hổng này không tồn tại trong danh sách được phát hiện trước đó. Ông cũng đã mời các nhà nghiên cứu khác vào cuộc để thử nghiệm lỗ hổng bằng cách sử dụng một bộ công cụ khai thác mà ông đã phát hành trên GitHub.
Cập nhật: Microsoft phát hành Bản vá khẩn cấp
Sau phát hiện của Frisk, Microsoft đã tiến hành phát ra khẩn cấp bản vá lỗi vào ngày thứ năm tuần vừa rồi. Lỗ hổng bảo mật CVE-2018-1038 được giới thiệu là bản vá lỗi do Microsoft phát hành hồi đầu năm nay.
Theo lời khuyên từ Microsoft, việc nâng cấp các lỗ hổng đặc quyền là cần thiết khi hệ thống Windows không xử lý đúng đối tượng trong bộ nhớ. Khai thác thành công lỗ hổng này có thể cho phép kẻ tấn công chạy mã tùy ý vào hệ thống trung tâm.
“Kẻ tấn công có thể cài đặt các chương trình xem, thay đổi hoặc xóa dữ liệu hoặc tạo các tài khoản mới với quyền quản trị đầy đủ”.
Hiện tại không có phiên bản Windows OS nào bị ảnh hưởng ngoại trừ Windows 7 Service Pack 1 (x64) và Windows Server 2008 R2 Service Pack 1 (x64). Vì vậy, tất cả người dùng và quản trị viên đang sử dụng 2 hệ điều hành trên được khuyến khích nên cập nhật hệ thống càng sớm càng tốt.
Theo The Hacker News