Cải tiến kiểm tra truy nhập nhằm ngăn chặn việc tiết lộ đường dẫn tệp trái phép

Áp dụng cho
Windows 10 Windows 10, version 1607, all editions Win 10 Ent LTSC 2019 Win 10 IoT Ent LTSC 2019 Windows 10 IoT Core LTSC Windows 10 Enterprise LTSC 2021 Windows 10 IoT Enterprise LTSC 2021 Windows 10, version 22H2, all editions Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 DO_NOT_USE_Windows 11 IoT Enterprise, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows Server 2008 Windows Server 2008 R2 Windows Server 2012 Windows Server 2012 R2 Windows Server 2016 Windows Server 2019 Windows Server, version 23H2 Windows Server 2025

Lưu ý

  • Ngày xuất bản ban đầu: Ngày 8 tháng 4 năm 2025
  • ID KB: 5058189

Tóm tắt

Tồn tại lỗ hổng bảo mật trong Windows cho phép người dùng trái phép xem đường dẫn tệp đầy đủ đến tài nguyên mà họ không có quyền truy nhập. Lỗ hổng này có thể xảy ra khi người dùng có quyền truy nhập FILE_LIST_DIRECTORY trên một thư mục chính và nhận được thông báo thay đổi thư mục.

Để biết thêm thông tin về lỗ hổng này, hãy xem CVE-2025-21197 và CVE-2025-27738.

Thông tin Bổ sung

Bản sửa lỗi cho lỗ hổng này được bao gồm trong các bản cập nhật Windows được phát hành vào hoặc sau ngày 8 tháng 4 năm 2025.

Bản sửa lỗi này có thể được áp dụng cho các ổ NTFS và ReFS để ngăn chặn lỗ hổng này. Bản sửa lỗi này thực hiện kiểm tra quyền truy nhập FILE_LIST_DIRECTORY đối với thư mục mẹ của tệp hoặc thư mục đã thay đổi trước khi báo cáo thay đổi cho người dùng trái phép. Nếu người dùng không có các quyền cần thiết, thông báo thay đổi sẽ được lọc ra, ngăn chặn việc tiết lộ trái phép đường dẫn tệp.

Theo mặc định, bản sửa lỗi này bị tắt để ngăn chặn mọi rủi ro bảo mật không mong muốn hoặc sự gián đoạn ứng dụng.

Để bật bản sửa lỗi này, bạn có thể đặt giá trị khóa đăng ký hoặc giá trị khóa chính sách nhóm trên hệ thống bị ảnh hưởng. Để thực hiện điều này, hãy sử dụng một trong các phương pháp sau.

Phương pháp 1: Sổ đăng ký

Trong sổ đăng ký Windows, bật bản sửa lỗi trong khóa con Chính sách hoặc FileSystem .

Lưu ý Nếu cả khóa con Chính sách và Hệ thống Tệp đều được bật, khóa con Chính sách sẽ được ưu tiên áp dụng.

Chính sách Vị trí đăng ký: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Policies
Tên DWORD: EnforceDirectoryChangeNotificationPermissionCheck
Ngày giá trị: 1 (Giá trị mặc định là 0)
Lưu ý Để tắt bản sửa lỗi, hãy đặt dữ liệu Giá trị thành 0.
FileSystem Vị trí đăng ký: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem
Tên DWORD: EnforceDirectoryChangeNotificationPermissionCheck
Ngày giá trị: 1 (Giá trị mặc định là 0)
Lưu ý Để tắt bản sửa lỗi, hãy đặt dữ liệu Giá trị thành 0.

Phương pháp 2: PowerShell

Để bật bản sửa lỗi, hãy chạy PowerShell với tư cách người quản trị và bật bản sửa lỗi trong khóa con Chính sách hoặc FileSystem .

Chính sách Chạy lệnh này:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Policies" -Name "EnforceDirectoryChangeNotificationPermissionCheck" -Value 1 -Type Dword
FileSystem Chạy lệnh này:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\FileSystem" -Name "EnforceDirectoryChangeNotificationPermissionCheck" -Value 1 -Type DWord

Để tắt bản sửa lỗi, hãy chạy PowerShell với tư cách người quản trị và tắt bản sửa lỗi trong khóa con Chính sách hoặc FileSystem .

Chính sách Chạy lệnh này:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Policies" -Name "EnforceDirectoryChangeNotificationPermissionCheck" -Value 0 -Type DWord
FileSystem Chạy lệnh này:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\FileSystem" -Name "EnforceDirectoryChangeNotificationPermissionCheck" -Value 0 -Type DWord