Lỗ hổng có định danh CVE-2024-34359 (điểm CVSS: 9,7), được công ty bảo mật chuỗi cung ứng phần mềm Checkmarx (Mỹ) đặt tên là Llama Drama. Nhà nghiên cứu bảo mật Guy Nachshon cho biết: “Nếu bị khai thác, nó có thể cho phép kẻ tấn công thực thi mã tùy ý trên hệ thống, xâm phạm dữ liệu và hoạt động”.
llama_cpp_python một Python binding cho thư viện llama.cpp, là package phổ biến với hơn 3 triệu lượt tải xuống, cho phép các nhà phát triển tích hợp các mô hình AI với Python.
Nhà nghiên cứu bảo mật Patrick Peng (retr0reg) được ghi nhận là người đã phát hiện và báo cáo lỗ hổng.
Vấn đề cốt lõi bắt nguồn từ việc lạm dụng công cụ mẫu (template engine) Jinja2 trong llama_cpp_python, cho phép tấn công server-side template injection dẫn đến thực thi mã từ xa.
Checkmarx cho biết: “Việc khai thác lỗ hổng này có thể dẫn đến các hành động trái phép, bao gồm đánh cắp dữ liệu, xâm phạm hệ thống và làm gián đoạn hoạt động”.
“Việc phát hiện ra CVE-2024-34359 như một lời nhắc nhở rõ ràng về các lỗ hổng có thể phát sinh khi kết hợp giữa mô hình AI và bảo mật chuỗi cung ứng. Nó nhấn mạnh sự cần thiết phải thực hiện các biện pháp bảo mật thận trọng trong suốt vòng đời của hệ thống AI và các thành phần của chúng".
Lỗ hổng thực thi mã trong PDF.jsm
Sự phát triển này diễn ra sau khi một lỗ hổng có độ nghiêm trọng mức cao (CVE-2024-4367) được phát hiện trong thư viện JavaScript PDF.js của Mozilla có thể cho phép thực thi mã tùy ý.
Mozilla cho biết rằng: “Việc kiểm tra loại dữ liệu đã bị thiếu trong khi xử lý phông chữ trong PDF.js, điều này sẽ cho phép thực thi JavaScript tùy ý trong ngữ cảnh PDF.js”.
Codean Labs cho biết lỗ hổng này cho phép kẻ tấn công thực thi mã JavaScript ngay khi tài liệu PDF độc hại được mở trong trình duyệt Firefox.
Sự cố đã được giải quyết trong Firefox 126, Firefox ESR 115.11 và Thunderbird 115.11 được phát hành vào tuần trước. Vấn đề này cũng đã được giải quyết trong mô-đun npm pdfjs-dist phiên bản 4.2.67 được phát hành vào ngày 29/4/2024.
Hà Phương
10:00 | 17/05/2024
10:00 | 17/05/2024
14:00 | 23/05/2024
13:00 | 06/08/2024
08:00 | 29/01/2025
Một chiến thuật tấn công mới đang được tin tặc sử dụng thông qua cách thức "giả mạo mô phỏng giao dịch" để đánh cắp tiền điện tử, mới đây trên ScamSniffer (trang web chuyên đăng tải các bài báo về phòng, chống lừa đảo mạng) đã công bố một vụ tấn công sử dụng hình thức này gât thiệt hại 143,45 Ethereum (ETH) với trị giá khoảng 460.000 USD.
10:00 | 09/12/2024
Nhóm tin tặc RomCom đến từ Nga đã liên kết hai lỗ hổng zero-day trong các cuộc tấn công gần đây nhắm vào người dùng Firefox và Tor Browser trên khắp khu vực châu Âu và Bắc Mỹ.
16:00 | 27/11/2024
Ngày nay, cụm từ "chuỗi cung ứng" đã vô cùng phổ biến trong những câu chuyện đời sống hàng ngày và trở thành một yếu tố then chốt trong nền kinh tế toàn cầu, đóng vai trò quan trọng trong việc sản xuất và phân phối hàng hóa và dịch vụ. Đây cũng là mục tiêu mà tội phạm công nghệ cao nhắm tới bằng phần mềm độc hại hay nhiều cách thức khác nhau.
13:00 | 18/11/2024
Cisco đã xử lý lỗ hổng nghiêm trọng định danh CVE-2024-20418 cho phép kẻ tấn công thực thi lệnh với quyền root trên các điểm truy cập Ultra-Reliable Wireless Backhaul (URWB) dễ bị tấn công.
Năm 2025 được dự báo sẽ chứng kiến sự gia tăng các cuộc tấn công mạng, với sự xuất hiện và phát triển mạnh mẽ của những phần mềm độc hại nhắm vào cả cá nhân lẫn tổ chức trên toàn cầu. Bài viết tập trung nghiên cứu và phân tích 5 mối đe dọa phần mềm độc hại hàng đầu được dự báo sẽ gây ảnh hưởng lớn nhất trong năm nay. Từ những dòng mã độc tống tiền tinh vi đến trojan đánh cắp thông tin và công cụ truy cập từ xa. Những mối đe dọa này không chỉ đặt ra thách thức lớn cho các chuyên gia an ninh mạng mà còn yêu cầu sự chuẩn bị kỹ lưỡng từ mọi tổ chức và cá nhân.
10:00 | 06/02/2025