Lỗ hổng bảo mật có định danh CVE-2024-7490 (điểm CVSS là 9,5), liên quan đến vấn đề stack-based overflow trong quá trình triển khai máy chủ tinydhcp của ASF, bắt nguồn từ việc xác thực không đầy đủ dữ liệu đầu vào.
Trung tâm điều phối CERT (CERT/CC) (Đại học Carnegie Mellon, Hoa Kỳ) cho biết: “Tồn tại một lỗ hổng trong tất cả các mã nguồn mẫu công khai của ASF, cho phép một yêu cầu DHCP độc hại có thể gây ra vấn đề tràn stack, dẫn đến nguy cơ thực thi mã từ xa”. Do phần mềm không còn được hỗ trợ và được xây dựng dựa trên mã nguồn tập trung vào các thiết bị IoT, lỗ hổng bảo mật này có khả năng xuất hiện ở nhiều nơi trên thực tế.
Sự cố này ảnh hưởng đến ASF 3.52.0.2574 và tất cả các phiên bản trước đó của phần mềm, CERT/CC lưu ý thêm rằng nhiều nhánh của phần mềm tinydhcp cũng có khả năng bị ảnh hưởng.
Hiện không có bản vá hoặc biện pháp giảm thiểu nào để giải quyết CVE-2024-7490, ngoại trừ việc thay thế dịch vụ tinydhcp bằng một dịch vụ khác không gặp vấn đề tương tự.
Sự phát triển này diễn ra khi SonicWall Capture Labs tiết lộ chi tiết về lỗ hổng zero-click nghiêm trọng ảnh hưởng đến chipset MediaTek Wi-Fi (CVE-2024-20017, điểm CVSS là 9,8) có thể dẫn đến việc thực thi mã từ xa mà không cần bất kỳ tương tác nào của người dùng.
Công ty cho biết: “Các phiên bản bị ảnh hưởng bao gồm MediaTek SDK từ 7.4.0.1 trở về trước, OpenWrt 19.07 và 21.02. Điều này đồng nghĩa với việc nhiều thiết bị dễ bị tấn công, bao gồm cả bộ định tuyến và điện thoại thông minh”.
MediaTek đã phát hành bản vá cho lỗ hổng bảo mật này vào tháng 3/2024, tuy nhiên, khả năng khai thác cũng đã tăng lên do mã khai thác (PoC) cho lỗ hổng đã được công khai vào ngày 30/8/2024.
Bá Phúc
14:00 | 17/09/2024
16:00 | 13/09/2024
14:00 | 09/09/2024
10:00 | 03/03/2025
Theo Christiaan Beek, Giám đốc phân tích nguy cơ cấp cao của hãng bảo mật Rapid7 (Hoa Kỳ), 2024 là năm của các cuộc tấn công liên tiếp. Báo cáo của hãng cho thấy, số lượng các vụ tấn công từ những băng nhóm mã độc tống tiền tăng mạnh vào năm ngoái với số tiền chuộc có thể lên tới 380 triệu USD. Trung bình tiền chuộc của mỗi vụ là 200.000 USD.
08:00 | 29/01/2025
Một chiến thuật tấn công mới đang được tin tặc sử dụng thông qua cách thức "giả mạo mô phỏng giao dịch" để đánh cắp tiền điện tử, mới đây trên ScamSniffer (trang web chuyên đăng tải các bài báo về phòng, chống lừa đảo mạng) đã công bố một vụ tấn công sử dụng hình thức này gât thiệt hại 143,45 Ethereum (ETH) với trị giá khoảng 460.000 USD.
17:00 | 28/01/2025
Nhóm tin tặc người Nga Star Blizzard được cho là có liên quan đến một chiến dịch lừa đảo trực tuyến mới nhắm vào tài khoản WhatsApp của nạn nhân, đánh dấu sự thay đổi so với phương thức tấn công lâu đời của nhóm này nhằm mục đích tránh bị phát hiện.
10:00 | 12/12/2024
Các nhà nghiên cứu của công ty bảo mật đám mây Aqua Nautilus (Mỹ) cho biết một tác nhân đe dọa có tên là Matrix đã được liên kết với một chiến dịch từ chối dịch vụ phân tán (DoD) trên diện rộng, lợi dụng các lỗ hổng và cấu hình lỗi trong các thiết bị Internet vạn vật (IoT) để biến chúng thành một mạng lưới botnet tinh vi.
22:00 | 30/01/2025|Giải pháp khác
08:00 | 29/01/2025|Công nghệ thông tin
Ngày 17/3, Tổng thống Mexico Claudia Sheinbaum xác nhận một trong những thiết bị di động của bà đã bị tin tặc tấn công vài ngày trước, song cơ quan an ninh thông tin đã vào cuộc và vô hiệu hóa thành công cuộc tấn công này.
14:00 | 19/03/2025
