Lỗ hổng có định danh CVE-2024-34359 (điểm CVSS: 9,7), được công ty bảo mật chuỗi cung ứng phần mềm Checkmarx (Mỹ) đặt tên là Llama Drama. Nhà nghiên cứu bảo mật Guy Nachshon cho biết: “Nếu bị khai thác, nó có thể cho phép kẻ tấn công thực thi mã tùy ý trên hệ thống, xâm phạm dữ liệu và hoạt động”.
llama_cpp_python một Python binding cho thư viện llama.cpp, là package phổ biến với hơn 3 triệu lượt tải xuống, cho phép các nhà phát triển tích hợp các mô hình AI với Python.
Nhà nghiên cứu bảo mật Patrick Peng (retr0reg) được ghi nhận là người đã phát hiện và báo cáo lỗ hổng.
Vấn đề cốt lõi bắt nguồn từ việc lạm dụng công cụ mẫu (template engine) Jinja2 trong llama_cpp_python, cho phép tấn công server-side template injection dẫn đến thực thi mã từ xa.
Checkmarx cho biết: “Việc khai thác lỗ hổng này có thể dẫn đến các hành động trái phép, bao gồm đánh cắp dữ liệu, xâm phạm hệ thống và làm gián đoạn hoạt động”.
“Việc phát hiện ra CVE-2024-34359 như một lời nhắc nhở rõ ràng về các lỗ hổng có thể phát sinh khi kết hợp giữa mô hình AI và bảo mật chuỗi cung ứng. Nó nhấn mạnh sự cần thiết phải thực hiện các biện pháp bảo mật thận trọng trong suốt vòng đời của hệ thống AI và các thành phần của chúng".
Lỗ hổng thực thi mã trong PDF.jsm
Sự phát triển này diễn ra sau khi một lỗ hổng có độ nghiêm trọng mức cao (CVE-2024-4367) được phát hiện trong thư viện JavaScript PDF.js của Mozilla có thể cho phép thực thi mã tùy ý.
Mozilla cho biết rằng: “Việc kiểm tra loại dữ liệu đã bị thiếu trong khi xử lý phông chữ trong PDF.js, điều này sẽ cho phép thực thi JavaScript tùy ý trong ngữ cảnh PDF.js”.
Codean Labs cho biết lỗ hổng này cho phép kẻ tấn công thực thi mã JavaScript ngay khi tài liệu PDF độc hại được mở trong trình duyệt Firefox.
Sự cố đã được giải quyết trong Firefox 126, Firefox ESR 115.11 và Thunderbird 115.11 được phát hành vào tuần trước. Vấn đề này cũng đã được giải quyết trong mô-đun npm pdfjs-dist phiên bản 4.2.67 được phát hành vào ngày 29/4/2024.
Hà Phương
10:00 | 17/05/2024
10:00 | 17/05/2024
14:00 | 23/05/2024
13:00 | 06/08/2024
07:00 | 10/09/2024
Trong bối cảnh chuyển đổi số và hội nhập quốc tế ngày càng sâu rộng, Việt Nam đang trở thành mục tiêu hấp dẫn cho các cuộc tấn công chuỗi cung ứng tinh vi. Các doanh nghiệp Việt từ các tổ chức nhỏ đến các tập đoàn lớn đều phải đối mặt với nguy cơ bị tấn công qua những lỗ hổng bảo mật trong hệ thống của đối tác hay nhà cung cấp.
14:00 | 05/09/2024
Công ty an ninh mạng Lumen Technologies (Mỹ) cho biết, một nhóm tin tặc Trung Quốc đã khai thác một lỗ hổng phần mềm để xâm nhập vào một số công ty Internet tại Hoa Kỳ và nước ngoài.
09:00 | 09/08/2024
Theo thông báo được Thủ tướng Pháp Gabriel Attal đưa ra ngày 31/7, Cơ quan An ninh nước này đã phát hiện và ngăn chặn hàng chục vụ tấn công mạng liên quan đến Olympic Paris 2024.
16:00 | 24/07/2024
Vào tháng 3/2024, các nhà nghiên cứu của công ty an ninh mạng Zscaler (Mỹ) đã quan sát thấy hoạt động xâm nhập mới từ nhóm tin tặc được Chính phủ Triều Tiên hậu thuẫn có tên là Kimsuky (hay còn gọi là APT43, Emerald Sleet và Velvet Chollima). Đặc biệt, Zscaler phát hiện một chiến dịch tấn công bởi các tin tặc Kimsuky sử dụng tiện ích mở rộng mới trên Google Chrome có tên gọi Translatext.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Thông qua diễn tập thực chiến vừa tổ chức, các cơ quan, đơn vị trong Ban Cơ yếu Chính phủ đã có cơ hội nhìn nhận, đánh giá năng lực ứng phó của đơn vị mình trước những mối nguy hại, cuộc tấn công trên không gian mạng.
10:00 | 04/10/2024
