Trong một báo cáo, nhà nghiên cứu bảo mật Artur Oleyarsh thuộc đơn vị số 42 của Palo Alto Networks cho biết: “Bằng cách khai thác lỗ hổng này, tin tặc có thể thực thi mã từ xa trên máy chủ yêu cầu xác minh mã web token định dạng JSON được tạo một cách độc hại”.
Lỗ hổng này có mã định danh CVE-2022-23529 có điểm CVSS 7.6, ảnh hưởng đến tất cả các phiên bản của thư viện, bao gồm cả phiên bản 8.5.1 trở xuống và đã được xử lý trong phiên bản 9.0.0.
Jsonwebtoken, được phát triển và cập nhật bởi Okta's Auth0, là một mô-đun JavaScript cho phép người dùng giải mã, xác minh và tạo mã web token định dạng JSON như một phương tiện truyền thông tin an toàn giữa hai bên để ủy quyền và xác thực. Nó có hơn 10 triệu lượt tải xuống hàng tuần trên sổ đăng ký phần mềm npm và được hơn 22.000 dự án sử dụng.
Do đó, khả năng chạy mã độc hại trên máy chủ có thể phá vỡ các đảm bảo về tính bảo mật và tính toàn vẹn, có khả năng cho phép tin tặc ghi đè lên các tệp tùy ý trên máy chủ và thực hiện bất kỳ hành động nào mà chúng chọn bằng cách sử dụng khóa bí mật bị nhiễm độc. Hiện nay, phần mềm mã nguồn mở được nhắm đến đầu tiên bởi tin tặc thực hiện các cuộc tấn công chuỗi cung ứng. Do đó, các lỗ hổng trong các phần mềm đó phải được người dùng chủ động xác định, giảm thiểu và cập nhật bản vá.
Có một thực tế là tội phạm mạng hiện nay đã nhanh hơn rất nhiều trong việc khai thác các lỗ hổng mới được tiết lộ. Để chống lại vấn đề này, Google, vào tháng trước, đã công bố phát hành OSV-Scanner, một tiện ích mã nguồn mở nhằm xác định tất cả các thư viện mà dự án sử dụng và làm nổi bật những lỗ hổng của các thư viện này.
Bùi Thanh ( Theo The Hacker News)
08:00 | 19/12/2022
15:00 | 03/09/2023
16:00 | 01/11/2022
16:00 | 19/10/2022
09:00 | 06/02/2023
12:00 | 10/03/2023
09:00 | 02/04/2024
Một chiến dịch phần mềm độc hại trên quy mô lớn có tên Sign1 đã xâm phạm hơn 39.000 trang web WordPress trong 6 tháng qua, sử dụng cách thức chèn mã JavaScript độc hại để chuyển hướng người dùng đến các trang web lừa đảo.
14:00 | 22/02/2024
Các nhà nghiên cứu của hãng bảo mật Kaspersky đã phát hiện ra một dòng phần mềm độc hại mới được phân phối một cách bí mật thông qua các ứng dụng, phần mềm bẻ khóa (crack), nhắm mục tiêu vào ví tiền điện tử của người dùng macOS. Theo các nhà nghiên cứu, mối đe dọa mới này có những tính năng nổi trội hơn so với việc cài đặt trái phép Trojan trên các máy chủ proxy đã được phát hiện trước đó.
09:00 | 05/02/2024
Mới đây, công ty an ninh mạng ESET (Slovakia) báo cáo về việc một nhóm tin tặc gián điệp mạng của Trung Quốc đã thực hiện các chiến dịch tấn công mạng nhắm vào các cá nhân, tổ chức ở Trung Quốc và Nhật Bản. Bằng cách lợi dụng các lỗ hổng phần mềm để thao túng các bản cập nhật, các tin tặc đã phát tán mã độc và xâm phạm dữ liệu người dùng, đồng thời tạo các backdoor cho các cuộc tấn công trong tương lai.
15:00 | 26/01/2024
Các nhà nghiên cứu bảo mật của công ty an ninh mạng Akamai (Mỹ) phát hiện ra một mạng botnet mới dựa trên Mirai có tên là NoaBot, hiện đang được các tác nhân đe dọa sử dụng như một phần của chiến dịch khai thác tiền điện tử đã hoạt động kể từ đầu năm 2023. Bài viết này sẽ phân tích về đặc điểm của NoaBot và công cụ khai thác tiền điện tử được sử dụng trong chiến dịch tấn công mạng botnet này.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Các nhà nghiên cứu tại tổ chức bảo mật phi lợi nhuận Shadowserver Foundation (California) cho biết hàng nghìn thiết bị Ivanti VPN kết nối với Internet có khả năng bị ảnh hưởng bởi một lỗ hổng thực thi mã từ xa.
08:00 | 17/04/2024
