Microsoft đang kêu gọi khách hàng vá hai lỗ hổng bảo mật trong bộ điều khiển miền Active Directory mà họ đã giải quyết vào tháng 11 sau khi có công cụ bằng chứng khái niệm (PoC) vào ngày 12 tháng 12.
Hai lỗ hổng – được theo dõi là CVE-2021-42278 và CVE-2021-42287 – có xếp hạng mức độ nghiêm trọng là 7,5 trên tổng số tối đa 10 và có liên quan đến lỗ hổng báo cáo đặc quyền ảnh hưởng đến thành phần Dịch vụ miền Active Directory (AD DS). Người có công phát hiện và báo cáo cả hai lỗi là Andrew Bartlett của Catalyst IT.
Active Directory là một dịch vụ thư mục chạy trên Microsoft Windows Server và được sử dụng để quản lý danh tính và truy cập. Mặc dù gã khổng lồ công nghệ đánh dấu những thiếu sót là “ít khả năng khai thác hơn” trong đánh giá của mình, nhưng việc công khai PoC đã thúc đẩy những lời kêu gọi mới về việc áp dụng các bản sửa lỗi để giảm thiểu bất kỳ hoạt động khai thác tiềm năng nào của các tác nhân đe dọa.
Mặc dù CVE-2021-42278 cho phép kẻ tấn công giả mạo thuộc tính SAM-Account-Name, được sử dụng để đăng nhập người dùng vào các hệ thống trong miền Active Directory, CVE-2021-42287 có thể giả mạo bộ điều khiển miền. Điều này thực sự cấp cho một tác nhân xấu có thông tin đăng nhập của người dùng miền để có được quyền truy cập với tư cách là người dùng quản trị miền.
“Khi kết hợp hai lỗ hổng này, kẻ tấn công có thể tạo một đường dẫn đơn giản đến người dùng Quản trị miền trong môi trường Active Directory chưa áp dụng các bản cập nhật mới này”, Giám đốc sản phẩm cấp cao của Microsoft Daniel Naim cho biết. “Cuộc tấn công leo thang này cho phép những kẻ tấn công dễ dàng nâng cao đặc quyền của họ lên đặc quyền của Quản trị viên miền sau khi họ xâm phạm một người dùng thông thường trong miền.”
Công ty có trụ sở tại Redmond cũng đã cung cấp hướng dẫn từng bước để giúp người dùng xác định chắc chắn liệu các lỗ hổng bảo mật có thể đã bị khai thác trong môi trường của họ hay không. “Như mọi khi, chúng tôi đặc biệt khuyên bạn nên triển khai các bản vá mới nhất trên bộ điều khiển miền càng sớm càng tốt”, Microsoft cho biết.
.
