CẢNH BÁO NGUY HIỂM

Lỗ hổng 0-day MiniPlasma cho phép leo thang đặc quyền SYSTEM trên Windows đã cập nhật đầy đủ

Chuyên gia bảo mật Chaotic Eclipse vừa công bố mã khai thác (PoC) cho một lỗ hổng leo thang đặc quyền 0-day mới trên Windows mang tên MiniPlasma. Đáng lo ngại hơn, lỗ hổng này vẫn hoạt động hiệu quả ngay cả trên các hệ thống Windows 11 đã được cài đặt đầy đủ các bản vá bảo mật mới nhất tính đến tháng 5/2026.

Chi tiết về lỗ hổng MiniPlasma

Lỗ hổng nằm trong tệp tin cldflt.sys, trình điều khiển Windows Cloud Files Mini Filter Driver. Cụ thể, lỗi phát sinh trong routine có tên 'HsmOsBlockPlaceholderAccess'. Vấn đề này thực chất đã được báo cáo từ năm 2020 bởi Google Project Zero nhưng dường như chưa bao giờ được Microsoft xử lý triệt để hoặc bản vá đã bị vô hiệu hóa sau một đợt cập nhật nào đó.

Driver bị ảnh hưởng:
cldflt.sys

Cơ chế khai thác:
Race Condition

Đặc quyền đạt được:
SYSTEM (Cao nhất)

Mã định danh liên quan:
CVE-2020-17103

Phạm vi ảnh hưởng và xác nhận từ cộng đồng

Chaotic Eclipse cho biết lỗ hổng ảnh hưởng đến hầu hết các phiên bản Windows hiện nay. Chuyên gia bảo mật nổi tiếng Will Dormann cũng đã xác nhận mã khai thác MiniPlasma hoạt động 'ổn định' để mở cửa sổ lệnh (cmd.exe) với quyền SYSTEM trên hệ thống Windows 11 đã cài đặt bản cập nhật Patch Tuesday tháng 5/2026.

Vào tháng 12/2025, Microsoft từng xử lý một lỗi tương tự (CVE-2025-62221) cũng nằm trong thành phần này và đã bị khai thác trong thực tế, cho thấy trình điều khiển Cloud Files đang là mục tiêu trọng điểm của các tin tặc.

HÀNH ĐỘNG KHẨN CẤP

Kiểm tra và giám sát các hành vi thực thi mã bất thường từ người dùng có quyền thấp.
Triển khai các giải pháp giám sát điểm cuối (EDR) để phát hiện hành vi khai thác Race Condition trên trình điều khiển hệ thống.
Hạn chế quyền truy cập vào các tài nguyên hệ thống nhạy cảm trong khi chờ đợi phản hồi chính thức từ Microsoft.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS