CVE-2020-1350 Lỗ hổng trong Máy chủ Hệ thống Tên miền Windows (DNS)-Anh em IT quản trị hệ thống cần cập nhật ngay bản bảo mật tháng 7 năm 2020

Ngữ cảnh

Các anh em làm IT system lưu ý nhé ngày 14-07-2020 Hãng Microsoft vừa ra bản vá cập nhật cho CVE-2020-1350, nó ví là lỗ hổng thực thi mã từ xa quan trọng (Critical Remote Code Execution-RCE) trong hệ thống máy chủ phân giải tên miền (Windows DNS Server) được phân loại là lỗ hổng bảo mật có thể xâm nhập và có điểm cơ bản CVSS là 10.0. Sự cố này xuất phát từ một lỗ hổng trong việc thực hiện vai trò máy chủ DNS của Microsoft và lưu ý nhé anh em ảnh hưởng đến tất cả các phiên bản Windows Server (Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012R2, Windows Server 2016, Windows Server 2019, Windows Server Core 1903,1909,2004). Máy chủ DNS không phải của Microsoft không bị ảnh hưởng.

Triệu chứng

Lỗ hổng này có tên là Wormable một dạng virus có khả năng lây lan qua phần mềm độc hại giữa các máy tính dễ bị tổn thương mà không có sự tương tác của người dùng hay bất kỳ cảnh báo nào, âm thầm qua mạng cục bộ nhé nguy hiểm thật. Windows DNS Server là một thành phần dịch vụ cốt lõi trong hệ thống mạng Doanh nghiệp. Mặc dù lỗ hổng này hiện chưa được sử dụng trong các cuộc tấn công đang hoạt động, nhưng điều cần thiết là khách hàng áp dụng các bản cập nhật Windows để giải quyết lỗ hổng này càng sớm càng tốt. Cho nên anh em cần chú ý các bản cập nhật cho máy chủ Windows Server DNS nội bộ nhé tránh vị tấn công.

Nói nôm nay là Wormable sẽ gửi 1 lượng lớn các gói tin TCP request inbound (TcpReceivePacketSize) vào máy chủ DNS server, giá trị mặt định của TcpReceivePacketSize là 0xFFFF (65535 bytes) tràn ngậm, sập bộ đệm dịch vụ DNS, có thể bằng cơ chế truy vấn đệ huy và tương tác hoặc tấn DNS spoofing.

Giải pháp xử lý

Cập nhật Windows server mới nhất nhé danh sách cập nhật bên dưới ngày 14/07/2020

Nếu việc áp dụng bản cập nhật nhanh chóng là không thực tế, một cách giải quyết dựa trên đăng ký có sẵn mà không yêu cầu khởi động lại máy chủ. Nếu việc cập nhật các bản vá bảo mật có thể tự động vá lỗi không áp dụng được giải quyết lỗ hỏng trên thì các bạn thực theo các bước sau đây do Hãng Microsoft đưa ra cách xử lý nhé không phải admin nghỉ ra nhé 🙂

Chính vì lợi dụng lỗ hỏng bảo mật khi wormable gửi 1 lượng lớn gói tin TCP request inbound vào DNS server rất lớn giá trị, mặt định của TcpReceivePacketSize là 0xFF00 cho nên MS mới đưa ra cách làm can thiệp chỉnh sửa giá trị giá trị mặt định của TcpReceivePacketSize là 0xFFFF(65535 bytes) => về giá trị nhỏ hơn 0xFF00 (tứ là 65280 bytes).

Ý nghĩa đều này là máy chủ DNS của Windows sẽ không thể phân giải tên DNS cho các máy khách của nó khi phản hồi DNS từ máy chủ ngược dòng lớn hơn 65280 bytes.

Cách thực hiện như sau:

Vào lệnh Windows =>search => gõ lệnh Regedit.exe (regedt32)=> Chạy Run As administrators tìm đến đường dẫn sau:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters\TcpReceivePacketSize

Chỉnh giá trị là Value = 0xFF00

Nếu chưa có thì tạo mới TcpReceivePacketSize kiểu DWORD nhé

Lưu ý quan trọng chúng ta phải backup trước khi thao tác nhé anh em chọn vào export ra lưu bản sao

Tạo mới giá trị lưu ý là chọn hex nhé: 0xFF00

Chúng ta chọn vào ok và đóng registry lại nhé. Vào DNS Server khởi động lại dịch vụ DNS mới apply nhé.

Hoặc có thể chạy lênh bên dưới cmd

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\Parameters" /v "TcpReceivePacketSize" /t REG_DWORD /d 0xFF00 /f

net stop DNS && net start DNS

Bài viết hi vọng giúp ích cho anh em làm IT hệ thống mạng trong doanh nghiệp để phòng ngừa lỗ hỏng của RCE nhé.

Good lucky.

Bài viết có tham khảo từ nguồn

Microsoft Advisory for CVE-2020-1350

https://support.microsoft.com/en-us/help/4569509/windows-dns-server-remote-code-execution-vulnerability