Lỗ hổng bảo mật CVE-2017-9248 trong bộ công cụ Telerik UI của ASP.NET AJAX

1. Lỗ hổng CVE-2017-9248
2. Cách khắc phục lỗ hổng CVE-2017-9248

Cài đặt bản vá lỗ hổng bảo mật cho Telerik phiên bản từ Q1 2013 (2013.1.220)
và R2 2017 (2017.2.503)
Cài đặt bản vá lỗ hổng bảo mật cho Telerik các phiên bản từ Q1 2011 
(2011.1.315)và Q3 2012 SP2 (2012.3.1308)
Nâng cấp thành phiên bản từ R2 2017 SP1 (2017.2.621) trở lên
Chặn các truy cập vào đường dẫn Telerik

1. Lỗ hổng CVE-2017-9248

CVE-2017-9248 là lỗ hổng bảo mật cực kỳ nghiêm trọng, tồn tại do mã hóa yếu trong tệp tin Telerik.Web.UI.dll (Telerik UI for ASP.NET AJAX components ). Khai thác lỗ hổng này hacker có thể giải mã ra key (Telerik.Web.UI.DialogParametersEncryptionKey and/or the MachineKey), từ đó có được đường link quản trị nội dung tệp tin và có thể tải tệp tin lên máy chủ nếu cấu hình cho phép. Lỗ hổng này tồn tại ở các phiên bản từ 2012.3.1308 đến 2017.1.118 (.NET 35, 40, 45).

2. Cách khắc phục lỗ hổng CVE-2017-9248

Các quản trị viên các trang thông tin điện tử có sử dụng thư viện tồn tại lỗ hổng trên phải cập nhật ngay các bản vá lỗ hổng và rà soát mã độc trên hệ thống website phòng trường hợp mã độc đã bị hacker tải lên trước đó.

CÁC GIẢI PHÁP KHẮC PHỤC:

• Cài đặt bản vá lỗ hổng bảo mật cho Telerik phiên bản từ Q1 2013 (2013.1.220) và R2 2017 (2017.2.503) 

- Đăng nhập tài khoản tại trang chủ Telerik.com
- Truy cập mục Download
- Lựa chọn phiên bản sau ngày 26 tháng 6 năm 2017


- Tải xuống tệp SecurityPatch_ <your_version> .zip  
- Tiến hành Upgrade bản vá theo hướng dẫn tại đường dẫn sau: UPGRADE
- Tạo các khóa duy nhất cho Telerik.Web.UI.DialogParameterEncodingKey và 
MachineKey trong web.config của bạn. Bạn có thể sử dụng trình tạo khóa
IIS machinekey 
Bạn có thể xem phiên bản của bản vá tại thuộc tính của tệp tin

• Cài đặt bản vá lỗ hổng bảo mật cho Telerik các phiên bản từ Q1 2011 (2011.1.315) và Q3 2012 SP2 (2012.3.1308)

Đối với các phiên bản này bạn cần nâng cấp lên các phiên bản từ 
Q1 2013 (2013.1.220) trở lên để có thể sử dụng các bản vá của phiên bản 
từ Q1 2013 (2013.1.220) và R2 2017 (2017.2.503) theo hướng dẫn ở trên.

• Nâng cấp lên phiên bản từ R2 2017 SP1 (2017.2.621) trở lên

- Upgrade phiên bản Telerik UI for ASP.NET AJAX lên thành phiên bản R2 2017 SP1 
(2017.2.621) trở lên
- Tạo các khóa duy nhất cho Telerik.Web.UI.DialogParameterEncodingKey và 
MachineKey trong web.config của bạn. Bạn có thể sử dụng trình tạo khóa
IIS machinekey 

• Chặn các truy cập vào đường dẫn Telerik

Có một cách khác khi bạn không thể cập nhật bản vá hoặc nâng cấp lên phiên
bản mới nhất đó là chặn các truy cập đến Telerik Dialog Handler. Tuy nhiên, 
bạn sẽ không thể sử dụng RadEditor và RadSpell

Có 3 cách để chặn:

a. Thêm luật chặn từ firewall
b. Thêm luật URL Redirect trả lại trang thông báo lỗi khi hacker truy cập Telerik


c. Loại bỏ handler từ tệp tin cấu hình web.config


d. Đối với trang sử dụng SharePoint, xóa tệp Telerik.Web.UI.SpellCheckHandler.ashx và Telerik.Web.UI.DialogHandler.aspx theo đường dẫn:

SharePoint 2010: C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\wpresources\RadEditorSharePoint\6.x.x.0__1f131a624888eeed\Resources

SharePoint 2013: C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\wpresources\RadEditorSharePoint\7.x.x.0__1f131a624888eeed\Resources

SharePoint 2016: C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\wpresources\RadEditorSharePoint\7.x.x.0__1f131a624888eeed\Resources

Bạn có thể test sau khi thực hiện thực hiện việc chặn bằng cách truy cập theo đường dẫn:
Telerik.Web.UI.DialogHandler.aspx?checkHandler=true