Các nhà nghiên cứu tại Công ty An an ninh mạng Secarma (Anh) đã phát hiện ra một bằng chứng khai thác (proof-of-concept exploit) giúp kẻ tấn công có thể khai thác lỗ hổng website dựa vào quá trình giải tuần tự hóa trong ngôn ngữ lập trình PHP, sử dụng các hàm được xem là ít rủi ro.
Lỗ hổng PHP không tuần tự hóa và PHP object injection được ghi nhận lần đầu vào năm 2009, cho phép kẻ tấn công thực hiện nhiều loại tấn công bằng cách thêm dữ liệu đầu vào độc hại vào các hàm PHP unserialize(). Tuần tự hóa là quá trình chuyển hóa dữ liệu trở thành dạng plain string, ngược lại không tuần tự hóa là quá trình giúp tái tạo một dữ liệu từ string đó.
Đối với lỗ hổng này, nó bắt nguồn từ những hành vi của trình bao bọc luồng “phar://” được tích hợp sẵn của PHP, giúp triển khai chức năng xử lý tệp phức tạp cho các giao thức kiểu URL khác nhau. Tức là, một kẻ tấn công có thể lợi dụng những hàm rủi ro thấp để tấn công các tệp lưu trữ phar mà không cần dùng hàm unserialize().
Thông thường, các tệp định dạng lưu trữ phar trong PHP lưu trữ siêu dữ liệu theo định dạng được tuần tự hóa, những dữ liệu này sẽ không được tuần tự hóa nếu một phép toán của tệp (fopen, file_exists, file_get_contents,...) muốn truy cập tệp.
Để khai thác lỗ hổng, kẻ tấn công chỉ cần tải một tệp lưu trữ phar độc hại lên hệ thống tệp trong máy của đối tượng và khiến cho phép toán của tệp truy cập vào đó, sử dụng stream wrapper “phar://”.
Điều này được kích hoạt thông qua một loạt những sai sót được xem là có nguy cơ thấp, chẳng hạn như lỗ hổng xử lý XML External Entity (XXE). Những lỗ hổng này là lỗ hổng bảo mật yêu cầu phía máy chủ (SSRF) cho phép kẻ tấn công có thể gây ra tấn công từ chối dịch vụ (DoS) và sau đó truy cập các tệp, dịch vụ cục bộ hoặc từ xa, bằng cách lợi dụng tính năng có sẵn rộng rãi nhưng hiếm khi được sử dụng trong các trình phân tích cú pháp XML.
Ngoài ra, kẻ tấn công còn có thể dùng tệp tin hình ảnh .jpeg được chuyển hóa từ một tệp tin lưu trữ phar bằng cách thay đổi 100 byte đầu tiên của file. Một khi hình hiển thị (thumbnail) được tải lên máy chủ WordPress, kẻ tấn công có thể sử dụng các hàm khác để biến tệp tin hình ảnh đã tải lên thành file lưu trữ phar. Sau đó, thực thi mã tùy ý khi chương trình giải tuần tự hóa siêu dữ liệu.
Các nhà nghiên cứu cho biết, vấn đề này đã được báo cáo cho đội ngũ phát triển của WordPress vào tháng 2/2017. Tuy nhiên, tại thời điểm hiện tại, lỗ hổng này vẫn chưa được khắc phục triệt để. Ngày 9/6, sau khi được báo cáo lỗ hổng, các nhà phát triển của Typo3 đã cung cấp bản vá cho các phiên bản 7.6.30, 8.7.17 và 9.3.
Thu Hằng (Theo Threatpost)
16:00 | 18/07/2018
17:00 | 18/01/2023
09:00 | 18/12/2018
09:00 | 01/02/2018
22:00 | 26/01/2020
14:00 | 03/06/2021
09:18 | 10/07/2017
10:00 | 11/05/2020
16:00 | 18/04/2019
16:00 | 26/03/2024
Theo nhận định của các chuyên gia, Công ty chứng khoán VNDIRECT có thể đã bị tin tặc tấn công bằng hình thức mã độc tống tiền. Cho đến chiều 26/3, hệ thống của VNDIRECT và một số hệ thống liên quan vẫn trong trạng thái ngừng trệ hoạt động.
09:00 | 06/03/2024
Tác nhân đe dọa liên quan đến Trung Quốc có tên là Mustang Panda đã nhắm mục tiêu vào nhiều quốc gia châu Á bằng cách sử dụng một biến thể mới của backdoor PlugX có tên là DOPLUGS.
07:00 | 08/01/2024
Mới đây, các nhà nghiên cứu an ninh mạng tới từ công ty bảo mật di động ThreatFabric (Hà Lan) cho biết một phiên bản cập nhật mới của Trojan ngân hàng Android có tên là Chameleon đang mở rộng mục tiêu nhắm tới người dùng ở Anh và Ý. Trojan này được phân phối thông qua Zombinder - một loại phần mềm Dropper dưới dạng dịch vụ (DaaS). Bài viết này sẽ tập trung phân tích biến thể mới của Chameleon với khả năng đặc biệt vượt qua tính năng xác thực sinh trắc học.
16:00 | 01/12/2023
Các nhà nghiên cứu an ninh mạng của hãng bảo mật Check Point cho biết đã phát một số biến thể mới của phần mềm độc hại SysJoker, trong đó bao gồm một biến thể được mã hóa bằng Rust, được các tin tặc ủng hộ Hamas sử dụng trong các cuộc tấn công mạng nhắm đến Israel, trong bối cảnh leo thang cuộc xung đột vũ trang giữa Israel và Hamas đang diễn ra. Trong bài viết này sẽ tập trung phân tích phiên bản Rust của SysJoker dựa trên báo cáo nghiên cứu mới đây của Check Point.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Một nhóm tin tặc được cho là từ Việt Nam đang nhắm mục tiêu vào các tổ chức tài chính ở châu Á để đánh cắp các dữ liệu tài chính.
10:00 | 24/04/2024
