Phân Tích Lỗ Hổng Leo Thang Đặc Quyền (EoP) Trên Microsoft SQL Server (CVE-2026-21262)

1. Phân tích nguyên nhân gốc rễ (Root Cause)

Lỗ hổng xuất phát từ việc xử lý thiếu đồng bộ trong cơ chế đóng giả danh tính (Impersonation Context) khi thực thi các thủ tục lưu trữ mở rộng (Extended Stored Procedures). Khi một phiên truy vấn bị ngắt quãng hoặc gọi lồng ghép qua mệnh đề EXECUTE AS USER, SQL Server không xóa triệt để Security Token cũ khỏi cấu trúc luồng làm việc (Thread Context).

Bằng cách tạo ra điều kiện Race Condition trong tiến trình xác thực, kẻ tấn công có thể kế thừa con trỏ Token của tiến trình hệ thống nội bộ (NT AUTHORITY\\SYSTEM hoặc sa), qua đó chiếm quyền kiểm soát toàn bộ cơ sở dữ liệu.

2. Dấu hiệu nhận diện cuộc tấn công trong SOC / SIEM

Đội ngũ giám sát an ninh mạng (Blue Team) có thể phát hiện các hành vi khai thác CVE-2026-21262 thông qua các truy vấn nhật ký kiểm toán (SQL Audit Log / Windows Event Log):

• Xuất hiện các lệnh gọi liên tục và bất thường đối với các stored procedure hệ thống như sp_configure, xp_cmdshell, hoặc sp_addsrvrolemember từ các tài khoản dịch vụ ứng dụng thông thường.
• Event ID 18456 (Đăng nhập SQL thất bại liên tục kèm biến đổi quyền hạn nhanh chóng) hoặc Event ID 15457 (Thay đổi cấu hình nâng cao trong SQL Server).

3. Biện pháp phòng vệ và khắc phục

1. Áp dụng bản cập nhật Cumulative Update (CU) mới nhất: Cài đặt bản vá bảo mật chính thức do Microsoft phát hành cho phiên bản SQL Server tương ứng.
2. Vô hiệu hóa xp_cmdshell và CLR Integration: Tắt các tính năng thực thi lệnh ngoài hệ điều hành nếu ứng dụng nghiệp vụ không thực sự cần thiết.
3. Phân tách tài khoản dịch vụ: Chạy dịch vụ SQL Server dưới tài khoản Managed Service Account (gMSA) với quyền tối thiểu trên hệ điều hành máy chủ.